Resultados de vulnerabilidades

Níveis de serviço Standard-antigo, Standard, Premium e Enterprise (descontinuado) (algumas funcionalidades requerem a ativação ao nível da organização)

O nível de serviço do Security Command Center Enterprise vai ser descontinuado a 21 de maio de 2027. Se a sua organização usar o nível de serviço Enterprise, vai mudar automaticamente para o nível de serviço Premium a 21 de maio de 2027 ou após esta data. Contacte o representante da sua conta ou um Google Cloud especialista de vendas se tiver dúvidas.

Cada serviço cria descobertas com diferentes classes. A classe da descoberta é determinada pela condição de segurança que criou a descoberta.

A sua capacidade de ver e editar descobertas é determinada pelas funções e autorizações da gestão de identidade e de acesso (IAM) que lhe são atribuídas. Para mais informações sobre as funções de IAM no Security Command Center, consulte o artigo Controlo de acesso.

Detetores e conformidade

Níveis de serviço Standard-legacy, Standard, Premium e Enterprise (descontinuado) (algumas funcionalidades requerem ativação ao nível da organização)

O Security Command Center monitoriza a sua conformidade com detetores mapeados para os controlos de uma grande variedade de normas de segurança.

Para cada norma de segurança compatível, o Security Command Center verifica um subconjunto dos controlos. Para os controlos verificados, o Security Command Center mostra quantos estão a ser aprovados. Para os controlos que não estão a ser aprovados, o Security Command Center mostra-lhe uma lista de descobertas que descrevem as falhas de controlo.

O CIS revê e certifica os mapeamentos dos detetores do Security Command Center para cada versão compatível do CIS Google Cloud Foundations Benchmark. Os mapeamentos de conformidade adicionais são incluídos apenas para fins de referência.

O Security Command Center adiciona periodicamente compatibilidade com novas versões e normas de testes de referência. As versões mais antigas continuam a ser compatíveis, mas acabam por ser descontinuadas. Recomendamos que use a referência ou a norma compatível mais recente disponível.

Com o serviço de postura de segurança, pode mapear as políticas da organização e os detetores do Security Health Analytics de acordo com as normas e os controlos que se aplicam à sua empresa. Depois de criar uma postura de segurança, pode monitorizar quaisquer alterações ao ambiente que possam afetar a conformidade da sua empresa.

Com o Gestor de conformidade, pode implementar frameworks que mapeiam controlos regulamentares para controlos da nuvem. Depois de criar uma framework, pode monitorizar quaisquer alterações ao ambiente que possam afetar a conformidade da sua empresa e auditar o seu ambiente.

Para mais informações sobre a gestão da conformidade, consulte o artigo Avalie e comunique a conformidade com as normas de segurança.

Normas de segurança compatíveis

Nota: estas normas são compatíveis se não tiver ativado o Gestor de conformidade. Para ver informações sobre as estruturas que pode usar com o Gestor de conformidade, consulte o artigo Vista geral do Gestor de conformidade.

Google Cloud

O Security Command Center mapeia detetores para Google Cloud com uma ou mais das seguintes normas de conformidade:

• Center for Information Security (CIS) Controls 8.0
• CIS Google Cloud Computing Foundations Benchmark v2.0.0, v1.3.0, v1.2.0, v1.1.0 e v1.0.0
• CIS Kubernetes Benchmark v1.5.1
• Cloud Controls Matrix (CCM) 4
• Lei de Portabilidade e Responsabilidade dos Seguros de Saúde (HIPAA)
• Organização Internacional de Normalização (ISO) 27001, 2022 e 2013
• National Institute of Standards and Technology (NIST) 800-53 R5 e R4
• Framework de cibersegurança (CSF) 1.0 do National Institute of Standards and Technology (NIST)
• As dez principais vulnerabilidades do Open Web Application Security Project (OWASP), 2021 e 2017
• Norma de Segurança de Dados do Setor de Cartões de Pagamento (PCI DSS) 4.0 e 3.2.1
• System and Organization Controls (SOC) 2 2017 Trust Services Criteria (TSC)

AWS

No nível de serviço Enterprise (descontinuado), o Security Command Center mapeia detetores para o Amazon Web Services (AWS) para uma ou mais das seguintes normas de conformidade:

• CIS Amazon Web Services Foundations 2.0.0
• Controlos de segurança críticos do CIS, versão 8.0
• Cloud Controls Matrix (CCM) 4
• Health Insurance Portability and Accountability Act (HIPAA)
• Organização Internacional de Normalização (ISO) 27001, 2022
• National Institute of Standards and Technology (NIST) 800-53 R5
• Framework de cibersegurança (CSF) 1.0 do National Institute of Standards and Technology (NIST)
• Norma de Segurança de Dados do Setor de Cartões de Pagamento (PCI DSS) 4.0 e 3.2.1
• System and Organization Controls (SOC) 2 2017 Trusted Services Criteria (TSC)

Para ver instruções sobre como ver e exportar relatórios de conformidade, consulte o artigo Avalie e comunique a conformidade com as normas de segurança.

Resultados do Security Health Analytics

Níveis de serviço Standard-legacy, Standard, Premium e Enterprise (descontinuado)

Os detetores da Análise de integridade de segurança monitorizam um subconjunto de recursos do Cloud Asset Inventory (CAI), recebendo notificações de alterações de políticas de recursos e de gestão de identidade e de acesso (IAM). Alguns detetores obtêm dados chamando diretamente Google Cloud as APIs, conforme indicado nas tabelas mais adiante nesta página.

Para mais informações sobre o Security Health Analytics, os horários de análise e o suporte do Security Health Analytics para detetores de módulos integrados e personalizados, consulte o artigo Vista geral do Security Health Analytics.

As tabelas seguintes descrevem os detetores do Security Health Analytics, os recursos e as normas de conformidade que suportam, as definições que usam para as análises e os tipos de descobertas que geram. Pode filtrar as descobertas por vários atributos nas seguintes Google Cloud páginas da consola:

• Página Vulnerabilidades
• Página Vista geral de riscos > painel de controlo Vulnerabilidades

Para ver instruções sobre como corrigir descobertas e proteger os seus recursos, consulte o artigo Reparar descobertas do Security Health Analytics.

Resultados de vulnerabilidades da chave da API

O detetor API_KEY_SCANNER identifica vulnerabilidades relacionadas com as chaves da API usadas na sua implementação na nuvem.

Detetor	Resumo	Definições de análise de recursos
API key APIs unrestricted Nome da categoria na API: API_KEY_APIS_UNRESTRICTED	Descrição da deteção: Existem chaves da API a ser usadas de forma demasiado ampla. Para resolver este problema, limite a utilização da chave da API para permitir apenas as APIs necessárias para a aplicação. Nível de preços: Premium Recursos compatíveis cloudresourcemanager.googleapis.com/Project Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 1.12 CIS GCP Foundation 1.1: 1.14 CIS GCP Foundation 1.2: 1.14 CIS GCP Foundation 1.3: 1.14 CIS GCP Foundation 2.0: 1.14 CIS GCP Foundation 3.0: 1.14 NIST 800-53 R5: PL-8, SA-8 PCI-DSS v4.0: 2.2.2, 6.2.1 ISO-27001 v2022: A.8.27 Cloud Controls Matrix 4: DSP-07 NIST Cybersecurity Framework 1.0: PR-IP-2 CIS Controls 8.0: 16.10	Obtém a propriedade restrictions de todas as chaves da API num projeto, verificando se alguma está definida como cloudapis.googleapis.com. Análises em tempo real: não
API key apps unrestricted Nome da categoria na API: API_KEY_APPS_UNRESTRICTED	Descrição da descoberta: Existem chaves da API a ser usadas de forma sem restrições, o que permite a utilização por qualquer app não fidedigna. Nível de preços: Premium Recursos compatíveis cloudresourcemanager.googleapis.com/Project Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 1.11 CIS GCP Foundation 1.1: 1.13 CIS GCP Foundation 1.2: 1.13 CIS GCP Foundation 1.3: 1.13 CIS GCP Foundation 2.0: 1.13 CIS GCP Foundation 3.0: 1.13	Recebe a propriedade restrictions de todas as chaves da API num projeto, verificando se browserKeyRestrictions, serverKeyRestrictions, androidKeyRestrictions ou iosKeyRestrictions está definido. Análises em tempo real: não
API key exists Nome da categoria na API: API_KEY_EXISTS	Descrição da descoberta: Um projeto está a usar chaves da API em vez da autenticação padrão. Nível de preços: Premium Recursos compatíveis cloudresourcemanager.googleapis.com/Project Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 1.10 CIS GCP Foundation 1.1: 1.12 CIS GCP Foundation 1.2: 1.12 CIS GCP Foundation 1.3: 1.12 CIS GCP Foundation 2.0: 1.12 CIS GCP Foundation 3.0: 1.12 NIST 800-53 R5: PL-8, SA-8 PCI-DSS v4.0: 2.2.2, 6.2.1 ISO-27001 v2022: A.8.27 Cloud Controls Matrix 4: DSP-07 NIST Cybersecurity Framework 1.0: PR-IP-2 CIS Controls 8.0: 16.10	Obtém todas as chaves da API pertencentes a um projeto. Análises em tempo real: não
API key not rotated Nome da categoria na API: API_KEY_NOT_ROTATED	Descrição da descoberta: A chave da API não foi alternada durante mais de 90 dias. Nível de preços: Premium Recursos compatíveis cloudresourcemanager.googleapis.com/Project Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 1.13 CIS GCP Foundation 1.1: 1.15 CIS GCP Foundation 1.2: 1.15 CIS GCP Foundation 1.3: 1.15 CIS GCP Foundation 2.0: 1.15 CIS GCP Foundation 3.0: 1.15 NIST 800-53 R5: PL-8, SA-8 PCI-DSS v4.0: 2.2.2, 6.2.1 ISO-27001 v2022: A.8.27 Cloud Controls Matrix 4: DSP-07 NIST Cybersecurity Framework 1.0: PR-IP-2 CIS Controls 8.0: 16.10	Obtém a data/hora contida na propriedade createTime de todas as chaves da API, verificando se já passaram 90 dias. Análises em tempo real: não

Descobertas de vulnerabilidades do Cloud Asset Inventory

As vulnerabilidades deste tipo de detetor estão todas relacionadas com as configurações do Cloud Asset Inventory e pertencem ao tipo CLOUD_ASSET_SCANNER.

Detetor	Resumo	Definições de análise de recursos
Cloud Asset API disabled Nome da categoria na API: CLOUD_ASSET_API_DISABLED	Descrição da descoberta: A captura de Google Cloud recursos e políticas de IAM pelo Cloud Asset Inventory permite a análise de segurança, o acompanhamento de alterações de recursos e a auditoria de conformidade. Recomendamos que o serviço Cloud Asset Inventory seja ativado para todos os projetos. Este detetor requer uma configuração adicional para ser ativado. Para ver instruções, consulte o artigo Ative e desative detetores. Nível de preços: Premium Recursos compatíveis cloudresourcemanager.googleapis.com/Project Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.3: 2.13 CIS GCP Foundation 2.0: 2.13 CIS GCP Foundation 3.0: 2.13 NIST 800-53 R5: CM-8, PM-5 PCI-DSS v4.0: 11.2.1, 11.2.2, 12.5.1, 9.5.1, 9.5.1.1 ISO-27001 v2022: A.5.9, A.8.8 Cloud Controls Matrix 4: UEM-04 NIST Cybersecurity Framework 1.0: ID-AM-1, PR-DS-3 SOC2 v2017: CC3.2.6, CC6.1.1 HIPAA: 164.310(d)(2)(iii) CIS Controls 8.0: 1.1, 6.6	Verifica se o serviço Cloud Asset Inventory está ativado. Análises em tempo real: não

Descobertas de vulnerabilidades de armazenamento

As vulnerabilidades deste tipo de detetor estão todas relacionadas com as configurações dos contentores do Cloud Storage e pertencem ao tipoSTORAGE_SCANNER.

Detetor	Resumo	Definições de análise de recursos
Bucket CMEK disabled Nome da categoria na API: BUCKET_CMEK_DISABLED	Descrição da descoberta: um contentor não está encriptado com chaves de encriptação geridas pelo cliente (CMEK). Este detetor requer uma configuração adicional para ser ativado. Para ver instruções, consulte o artigo Ative e desative detetores. Nível de preços: Premium Recursos compatíveis storage.googleapis.com/Bucket Corrija esta descoberta Esta categoria de descoberta não está mapeada para nenhum padrão de conformidade.	Verifica o campo encryption nos metadados do contentor para ver o nome do recurso da sua CMEK. Análises em tempo real: sim
Bucket policy only disabled Nome da categoria na API: BUCKET_POLICY_ONLY_DISABLED	Descrição da descoberta: O acesso uniforme ao nível do contentor, anteriormente denominado apenas política de contentor, não está configurado. Nível de preços: Premium Recursos compatíveis storage.googleapis.com/Bucket Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.2: 5.2 CIS GCP Foundation 1.3: 5.2 CIS GCP Foundation 2.0: 5.2 CIS GCP Foundation 3.0: 5.2 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	Verifica se a propriedade uniformBucketLevelAccess num contentor está definida como "enabled":false Análises em tempo real: sim
Public bucket ACL Nome da categoria na API: PUBLIC_BUCKET_ACL	Descrição da deteção: Um contentor do Cloud Storage está acessível publicamente. Nível de preços: Premium ou Standard Recursos compatíveis storage.googleapis.com/Bucket Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 5.1 CIS GCP Foundation 1.1: 5.1 CIS GCP Foundation 1.2: 5.1 CIS GCP Foundation 1.3: 5.1 CIS GCP Foundation 2.0: 5.1 CIS GCP Foundation 3.0: 5.1 NIST 800-53 R4: AC-2 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v3.2.1: 7.1 PCI-DSS v4.0: 1.3.1 ISO-27001 v2013: A.14.1.3, A.8.2.3 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	Verifica a política de autorização de IAM de um contentor para funções públicas, allUsers ou allAuthenticatedUsers. Análises em tempo real: sim
Public log bucket Nome da categoria na API: PUBLIC_LOG_BUCKET	Descrição da descoberta: Um contentor de armazenamento usado como coletor de registos é acessível publicamente. Esta descoberta não está disponível para ativações ao nível do projeto. Nível de preços: Premium ou Standard Recursos compatíveis storage.googleapis.com/Bucket Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R4: AU-9 PCI-DSS v3.2.1: 10.5 ISO-27001 v2013: A.12.4.2, A.18.1.3, A.8.2.3	Verifica a política de autorização de IAM de um contentor para os principais allUsers ou allAuthenticatedUsers, que concedem acesso público. Entradas adicionais: lê o coletor de registos (o filtro de registos e o destino de registos) de um contentor para determinar se é um contentor de registos Análises em tempo real: sim, mas apenas se a política de IAM no contentor for alterada, não se o coletor de registos for alterado

Resultados de vulnerabilidades de imagens de computação

O detetor COMPUTE_IMAGE_SCANNER identifica vulnerabilidades relacionadas com Google Cloud configurações de imagens.

Detetor	Resumo	Definições de análise de recursos
Public Compute image Nome da categoria na API: PUBLIC_COMPUTE_IMAGE	Descrição da descoberta: Uma imagem do Compute Engine está acessível publicamente. Nível de preços: Premium ou Standard Recursos compatíveis compute.googleapis.com/Image Corrija esta descoberta Esta categoria de descoberta não está mapeada para nenhum padrão de conformidade.	Verifica a política de autorização de IAM nos metadados do recurso para os principais allUsers ou allAuthenticatedUsers, que concedem acesso público. Análises em tempo real: sim

Descobertas de vulnerabilidades de instâncias de computação

O detetor COMPUTE_INSTANCE_SCANNER identifica vulnerabilidades relacionadas com as configurações de instâncias do Compute Engine.

Os detetores do COMPUTE_INSTANCE_SCANNER não comunicam descobertas em instâncias do Compute Engine criadas pelo GKE. Estas instâncias têm nomes que começam por "gke-", que os utilizadores não podem editar. Para proteger estas instâncias, consulte a secção Descobertas de vulnerabilidades de contentores.

Detetor	Resumo	Definições de análise de recursos
Confidential Computing disabled Nome da categoria na API: CONFIDENTIAL_COMPUTING_DISABLED	Descrição da descoberta: A computação confidencial está desativada numa instância do Compute Engine. Nível de preços: Premium Recursos compatíveis compute.googleapis.com/Instance Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.2: 4.11 CIS GCP Foundation 1.3: 4.11 CIS GCP Foundation 2.0: 4.11 CIS GCP Foundation 3.0: 4.11 NIST 800-53 R5: IA-5, SC-28 PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2 ISO-27001 v2022: A.5.33 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-1 SOC2 v2017: CC6.1.10, CC6.1.3 HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii) CIS Controls 8.0: 3.11	Verifica a propriedade confidentialInstanceConfig dos metadados da instância para o par de chave-valor "enableConfidentialCompute":true. Recursos excluídos das análises: Instâncias do GKE Acesso a VPC sem servidor Instâncias relacionadas com tarefas do Dataflow Instâncias do Compute Engine que não são do tipo N2D Análises em tempo real: sim
Compute project wide SSH keys allowed Nome da categoria na API: COMPUTE_PROJECT_WIDE_SSH_KEYS_ALLOWED	Descrição da descoberta: São usadas chaves SSH ao nível do projeto, o que permite o início de sessão em todas as instâncias no projeto. Nível de preços: Premium Recursos compatíveis compute.googleapis.com/Instance Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 4.2 CIS GCP Foundation 1.1: 4.3 CIS GCP Foundation 1.2: 4.3 CIS GCP Foundation 1.3: 4.3 CIS GCP Foundation 2.0: 4.3 CIS GCP Foundation 3.0: 4.3 NIST 800-53 R5: AC-17, IA-5, SC-8 PCI-DSS v4.0: 2.2.7, 4.1.1, 4.2.1, 4.2.1.2, 4.2.2, 8.3.2 ISO-27001 v2022: A.5.14 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-2 SOC2 v2017: CC6.1.11, CC6.1.3, CC6.1.8, CC6.7.2 HIPAA: 164.312(a)(2)(iv), 164.312(e)(1), 164.312(e)(2)(i), 164.312(e)(2)(ii) CIS Controls 8.0: 3.10, 5.2	Verifica o objeto metadata.items[] nos metadados da instância para o par de chave-valor "key": "block-project-ssh-keys", "value": TRUE. Recursos excluídos das análises: instâncias do GKE, tarefa do Dataflow, instância do Windows Autorizações de IAM adicionais: roles/compute.Viewer Entradas adicionais: lê metadados do Compute Engine Análises em tempo real: não
Compute Secure Boot disabled Nome da categoria na API: COMPUTE_SECURE_BOOT_DISABLED	Descrição da deteção: Esta VM protegida não tem o Arranque seguro ativado. A utilização do Arranque seguro ajuda a proteger as instâncias de máquinas virtuais contra ameaças avançadas, como rootkits e bootkits. Nível de preços: Premium Recursos compatíveis compute.googleapis.com/Instance Corrija esta descoberta Esta categoria de descoberta não está mapeada para nenhum padrão de conformidade.	Verifica a propriedade shieldedInstanceConfig nas instâncias do Compute Engine para determinar se enableSecureBoot está definido como true. Este detetor verifica se os discos anexados são compatíveis com o Arranque seguro e se o Arranque seguro está ativado. Recursos excluídos das análises: instâncias do GKE, discos do Compute Engine que têm aceleradores de GPU e não usam o Container-Optimized OS, Acesso a VPC sem servidor Análises em tempo real: sim
Compute serial ports enabled Nome da categoria na API: COMPUTE_SERIAL_PORTS_ENABLED	Descrição da descoberta: As portas de série estão ativadas para uma instância, permitindo ligações à consola de série da instância. Nível de preços: Premium Recursos compatíveis compute.googleapis.com/Instance Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 4.4 CIS GCP Foundation 1.1: 4.5 CIS GCP Foundation 1.2: 4.5 CIS GCP Foundation 1.3: 4.5 CIS GCP Foundation 2.0: 4.5 CIS GCP Foundation 3.0: 4.5 NIST 800-53 R5: CM-6, CM-7 PCI-DSS v4.0: 1.2.5, 2.2.4, 6.4.1 ISO-27001 v2022: A.8.9 SOC2 v2017: CC6.6.1, CC6.6.3, CC6.6.4 CIS Controls 8.0: 4.8	Verifica o objeto metadata.items[] nos metadados da instância para o par de chave-valor "key": "serial-port-enable", "value": TRUE. Recursos excluídos das análises: instâncias do GKE Autorizações de IAM adicionais: roles/compute.Viewer Entradas adicionais: lê metadados do Compute Engine Análises em tempo real: sim
Default service account used Nome da categoria na API: DEFAULT_SERVICE_ACCOUNT_USED	Descrição da descoberta: Uma instância está configurada para usar a conta de serviço predefinida. Nível de preços: Premium Recursos compatíveis compute.googleapis.com/Instance Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.1: 4.1 CIS GCP Foundation 1.2: 4.1 CIS GCP Foundation 1.3: 4.1 CIS GCP Foundation 2.0: 4.1 CIS GCP Foundation 3.0: 4.1 NIST 800-53 R5: IA-5 PCI-DSS v4.0: 2.2.2, 2.3.1 ISO-27001 v2022: A.8.2, A.8.9 NIST Cybersecurity Framework 1.0: PR-AC-1 SOC2 v2017: CC6.3.1, CC6.3.2, CC6.3.3 CIS Controls 8.0: 4.7	Verifica a propriedade serviceAccounts nos metadados da instância para quaisquer endereços de email de contas de serviço com o prefixo PROJECT_NUMBER-compute@, que indica a conta de serviço predefinida criada pela Google. Recursos excluídos das análises: instâncias do GKE, tarefas do Dataflow Análises em tempo real: sim
Disk CMEK disabled Nome da categoria na API: DISK_CMEK_DISABLED	Descrição da descoberta: os discos nesta VM não estão encriptados com chaves de encriptação geridas pelo cliente (CMEK). Este detetor requer uma configuração adicional para ser ativado. Para ver instruções, consulte o artigo Ative e desative detetores. Nível de preços: Premium Recursos compatíveis compute.googleapis.com/Disk Corrija esta descoberta Esta categoria de descoberta não está mapeada para nenhum padrão de conformidade.	Verifica o campo kmsKeyName no objeto diskEncryptionKey, nos metadados do disco, para encontrar o nome do recurso da sua CMEK. Recursos excluídos das análises: discos relacionados com ambientes do Managed Airflow, tarefas do Dataflow e instâncias do GKE Análises em tempo real: sim
Disk CSEK disabled Nome da categoria na API: DISK_CSEK_DISABLED	Descrição da descoberta: Os discos nesta VM não estão encriptados com chaves de encriptação fornecidas pelo cliente (CSEK). Este detetor requer uma configuração adicional para ser ativado. Para ver instruções, consulte o artigo Detetor de casos especiais. Nível de preços: Premium Recursos compatíveis compute.googleapis.com/Disk Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 4.6 CIS GCP Foundation 1.1: 4.7 CIS GCP Foundation 1.2: 4.7 CIS GCP Foundation 1.3: 4.7 CIS GCP Foundation 2.0: 4.7 CIS GCP Foundation 3.0: 4.7 NIST 800-53 R5: IA-5, SC-28 PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2 ISO-27001 v2022: A.5.33 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-1 SOC2 v2017: CC6.1.10, CC6.1.3 HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii) CIS Controls 8.0: 3.11	Verifica o campo sha256 no objeto diskEncryptionKey para o nome do recurso da sua CSEK. Recursos excluídos das análises: Discos do Compute Engine sem a marca de segurança enforce_customer_supplied_disk_encryption_keys definida como true Autorizações de IAM adicionais: roles/compute.Viewer Entradas adicionais: lê metadados do Compute Engine Análises em tempo real: sim
Full API access Nome da categoria na API: FULL_API_ACCESS	Descrição da descoberta: Uma instância está configurada para usar a conta de serviço predefinida com acesso total a todas as Google Cloud APIs. Nível de preços: Premium Recursos compatíveis compute.googleapis.com/Instance Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 4.1 CIS GCP Foundation 1.1: 4.2 CIS GCP Foundation 1.2: 4.2 CIS GCP Foundation 1.3: 4.2 CIS GCP Foundation 2.0: 4.2 CIS GCP Foundation 3.0: 4.2 NIST 800-53 R4: AC-6 NIST 800-53 R5: IA-5 PCI-DSS v3.2.1: 7.1.2 PCI-DSS v4.0: 2.2.2, 2.3.1 ISO-27001 v2013: A.9.2.3 ISO-27001 v2022: A.8.2, A.8.9 NIST Cybersecurity Framework 1.0: PR-AC-1 SOC2 v2017: CC6.3.1, CC6.3.2, CC6.3.3 CIS Controls 8.0: 4.7	Obtém o campo scopes na propriedade serviceAccounts para verificar se é usada uma conta de serviço predefinida e se lhe é atribuído o âmbito cloud-platform. Recursos excluídos das análises: instâncias do GKE, tarefas do Dataflow Análises em tempo real: sim
HTTP load balancer Nome da categoria na API: HTTP_LOAD_BALANCER	Descrição da descoberta: uma instância usa um balanceador de carga configurado para usar um proxy HTTP de destino em vez de um proxy HTTPS de destino. Para ativações ao nível do projeto do nível Premium do Security Command Center, esta descoberta só está disponível se o nível Standard (antigo) estiver ativado na organização principal. Nível de preços: Premium Recursos compatíveis compute.googleapis.com/TargetHttpProxy Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: PCI-DSS v3.2.1: 2.3	Determina se a propriedade selfLink do recurso targetHttpProxy corresponde ao atributo target na regra de encaminhamento e se a regra de encaminhamento contém um campo loadBalancingScheme definido como External. Autorizações de IAM adicionais: roles/compute.Viewer Entradas adicionais: lê as regras de encaminhamento de um proxy HTTP de destino do Compute Engine, verificando se existem regras externas Análises em tempo real: sim
Instance OS Login disabled Nome da categoria na API: INSTANCE_OS_LOGIN_DISABLED	Descrição da deteção: O Início de sessão do SO está desativado nesta instância. Para ativações ao nível do projeto do nível Premium do Security Command Center, esta descoberta só está disponível se o nível Standard (antigo) estiver ativado na organização principal. Nível de preços: Premium Recursos compatíveis compute.googleapis.com/Instance Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 4.3 CIS GCP Foundation 1.1: 4.4 CIS GCP Foundation 1.2: 4.4 CIS GCP Foundation 1.3: 4.4 CIS GCP Foundation 2.0: 4.4 NIST 800-53 R5: AC-2 ISO-27001 v2022: A.5.15 SOC2 v2017: CC6.1.4, CC6.1.6, CC6.1.8, CC6.1.9 CIS Controls 8.0: 5.6, 6.7	Verifica se a propriedade enable-oslogin do Custom metadata da instância está definida como TRUE. Recursos excluídos das análises: instâncias do GKE, instâncias relacionadas com tarefas do Dataflow, Acesso a VPC sem servidor Autorizações de IAM adicionais: roles/compute.Viewer Entradas adicionais: lê metadados do Compute Engine. Análises em tempo real: não
IP forwarding enabled Nome da categoria na API: IP_FORWARDING_ENABLED	Descrição da descoberta: O encaminhamento de IP está ativado nas instâncias. Nível de preços: Premium Recursos compatíveis compute.googleapis.com/Instance Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 4.5 CIS GCP Foundation 1.1: 4.6 CIS GCP Foundation 1.2: 4.6 CIS GCP Foundation 1.3: 4.6 CIS GCP Foundation 2.0: 4.6 CIS GCP Foundation 3.0: 4.6 NIST 800-53 R5: CA-9, SC-7 PCI-DSS v4.0: 1.2.1, 1.4.1 SOC2 v2017: CC6.6.1, CC6.6.4 CIS Controls 8.0: 4.4, 4.5	Verifica se a propriedade canIpForward da instância está definida como true. Recursos excluídos das análises: instâncias do GKE, Acesso a VPC sem servidor Análises em tempo real: sim
OS login disabled Nome da categoria na API: OS_LOGIN_DISABLED	Descrição da deteção: O Início de sessão do SO está desativado neste projeto. Para ativações ao nível do projeto do nível Premium do Security Command Center, esta descoberta só está disponível se o nível Standard (antigo) estiver ativado na organização principal. Nível de preços: Premium Recursos compatíveis compute.googleapis.com/Project Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 4.3 CIS GCP Foundation 1.1: 4.4 CIS GCP Foundation 1.2: 4.4 CIS GCP Foundation 1.3: 4.4 CIS GCP Foundation 2.0: 4.4 NIST 800-53 R5: AC-2 ISO-27001 v2022: A.5.15 SOC2 v2017: CC6.1.4, CC6.1.6, CC6.1.8, CC6.1.9 CIS Controls 8.0: 5.6, 6.7	Verifica o objeto commonInstanceMetadata.items[] nos metadados do projeto para o par de chave-valor, "key": "enable-oslogin", "value": TRUE. O detetor também verifica todas as instâncias num projeto do Compute Engine para determinar se o Início de sessão do SO está desativado para instâncias individuais. Recursos excluídos das análises: instâncias do GKE, instâncias relacionadas com tarefas do Dataflow Autorizações de IAM adicionais: roles/compute.Viewer Entradas adicionais: lê metadados do Compute Engine. O detetor também examina as instâncias do Compute Engine no projeto Análises em tempo real: não
Public IP address Nome da categoria na API: PUBLIC_IP_ADDRESS	Descrição da descoberta: Uma instância tem um endereço IP público. Nível de preços: Premium ou Standard Recursos compatíveis compute.googleapis.com/Instance Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.1: 4.9 CIS GCP Foundation 1.2: 4.9 CIS GCP Foundation 1.3: 4.9 CIS GCP Foundation 2.0: 4.9 CIS GCP Foundation 3.0: 4.9 NIST 800-53 R4: CA-3, SC-7 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v3.2.1: 1.2.1 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	Verifica se a propriedade networkInterfaces contém um campo accessConfigs, o que indica que está configurada para usar um endereço IP público. Recursos excluídos das análises: instâncias do GKE, instâncias relacionadas com tarefas do Dataflow Análises em tempo real: sim
Shielded VM disabled Nome da categoria na API: SHIELDED_VM_DISABLED	Descrição da descoberta: A VM protegida está desativada nesta instância. Nível de preços: Premium Recursos compatíveis compute.googleapis.com/Instance Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.1: 4.8 CIS GCP Foundation 1.2: 4.8 CIS GCP Foundation 1.3: 4.8 CIS GCP Foundation 2.0: 4.8 CIS GCP Foundation 3.0: 4.8	Verifica a propriedade shieldedInstanceConfig nas instâncias do Compute Engine para determinar se os campos enableIntegrityMonitoring e enableVtpm estão definidos como true. Os campos indicam se a VM protegida está ativada. Recursos excluídos das análises: instâncias do GKE e Acesso a VPC sem servidor Análises em tempo real: sim
Weak SSL policy Nome da categoria na API: WEAK_SSL_POLICY	Descrição da descoberta: Uma instância tem uma política de SSL fraca. Para ativações ao nível do projeto do nível Premium do Security Command Center, esta descoberta só está disponível se o nível Standard (antigo) estiver ativado na organização principal. Nível de preços: Premium Recursos compatíveis compute.googleapis.com/TargetHttpsProxy compute.googleapis.com/TargetSslProxy Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.1: 3.9 CIS GCP Foundation 1.2: 3.9 CIS GCP Foundation 1.3: 3.9 CIS GCP Foundation 2.0: 3.9 CIS GCP Foundation 3.0: 3.9 NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 4.1 ISO-27001 v2013: A.14.1.3	Verifica se o campo sslPolicy nos metadados do recurso está vazio ou se está a usar a Google Cloud política predefinida e, para o recurso sslPolicies anexado, se o campo profile está definido como Restricted ou Modern, se o campo minTlsVersion está definido como TLS 1.2 e se o campo customFeatures está vazio ou não contém as seguintes cifras: TLS_RSA_WITH_AES_128_GCM_SHA256, TLS_RSA_WITH_AES_256_GCM_SHA384, TLS_RSA_WITH_AES_128_CBC_SHA, TLS_RSA_WITH_AES_256_CBC_SHA, TLS_RSA_WITH_3DES_EDE_CBC_SHA. Autorizações de IAM adicionais: roles/compute.Viewer Entradas adicionais: lê as políticas de SSL para o armazenamento de proxies de destino, verificando se existem políticas fracas Análises em tempo real: sim, mas apenas quando o TargetHttpsProxy do TargetSslProxy é atualizado, não quando a política de SSL é atualizada

Descobertas de vulnerabilidades de contentores

Estes tipos de descobertas estão todos relacionados com as configurações de contentores do GKE e pertencem ao tipo de detetor CONTAINER_SCANNER.

Detetor	Resumo	Definições de análise de recursos
Alpha cluster enabled Nome da categoria na API: ALPHA_CLUSTER_ENABLED	Descrição da deteção: As funcionalidades de cluster alfa estão ativadas para um cluster do GKE. Nível de preços: Premium Recursos compatíveis container.googleapis.com/Cluster Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GKE 1.0: 6.10.2	Verifica se a propriedade enableKubernetesAlpha de um cluster está definida como true. Análises em tempo real: sim
Auto repair disabled Nome da categoria na API: AUTO_REPAIR_DISABLED	Descrição da descoberta: A funcionalidade de reparação automática de um cluster do GKE, que mantém os nós num estado de funcionamento correto, está desativada. Nível de preços: Premium Recursos compatíveis container.googleapis.com/Cluster Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 7.7 CIS GKE 1.0: 6.5.2 PCI-DSS v3.2.1: 2.2	Verifica a propriedade management de um conjunto de nós para o par de chave-valor, "key": "autoRepair", "value": true. Análises em tempo real: sim
Auto upgrade disabled Nome da categoria na API: AUTO_UPGRADE_DISABLED	Descrição da descoberta: A funcionalidade de atualização automática de um cluster do GKE, que mantém os clusters e os conjuntos de nós na versão estável mais recente do Kubernetes, está desativada. Nível de preços: Premium Recursos compatíveis container.googleapis.com/Cluster Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 7.8 CIS GKE 1.0: 6.5.3 PCI-DSS v3.2.1: 2.2	Verifica a propriedade management de um conjunto de nós para o par de chave-valor, "key": "autoUpgrade", "value": true. Análises em tempo real: sim
Binary authorization disabled Nome da categoria na API: BINARY_AUTHORIZATION_DISABLED	Descrição da descoberta: A Autorização binária está desativada no cluster do GKE ou a política de Autorização binária está configurada para permitir a implementação de todas as imagens. Nível de preços: Premium Recursos compatíveis container.googleapis.com/Cluster Corrija esta descoberta Esta categoria de descoberta não está mapeada para nenhum padrão de conformidade.	Verifica o seguinte: Verifica se a propriedade binaryAuthorization tem um dos seguintes pares de chave-valor: "evaluationMode": "PROJECT_SINGLETON_POLICY_ENFORCE" "evaluationMode": "POLICY_BINDINGS" "evaluationMode": "POLICY_BINDINGS_AND_PROJECT_SINGLETON_POLICY_ENFORCE" Verifica se a propriedade da política defaultAdmissionRule não contém o par de chave-valor evaluationMode: ALWAYS_ALLOW. Análises em tempo real: sim
Cluster logging disabled Nome da categoria na API: CLUSTER_LOGGING_DISABLED	Descrição da descoberta: O registo não está ativado para um cluster do GKE. Nível de preços: Premium Recursos compatíveis container.googleapis.com/Cluster Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 7.1 CIS GKE 1.0: 6.7.1 PCI-DSS v3.2.1: 10.2.2, 10.2.7	Verifica se a propriedade loggingService de um cluster contém a localização que o Cloud Logging deve usar para escrever registos. Análises em tempo real: sim
Cluster monitoring disabled Nome da categoria na API: CLUSTER_MONITORING_DISABLED	Descrição da descoberta: A monitorização está desativada nos clusters do GKE. Nível de preços: Premium Recursos compatíveis container.googleapis.com/Cluster Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 7.2 CIS GKE 1.0: 6.7.1 PCI-DSS v3.2.1: 10.1, 10.2	Verifica se a propriedade monitoringService de um cluster contém a localização que o Cloud Monitoring deve usar para escrever métricas. Análises em tempo real: sim
Cluster private Google access disabled Nome da categoria na API: CLUSTER_PRIVATE_GOOGLE_ACCESS_DISABLED	Descrição da descoberta: Os anfitriões do cluster não estão configurados para usar apenas endereços IP internos privados para aceder às APIs Google. Para ativações ao nível do projeto do nível Premium do Security Command Center, esta descoberta só está disponível se o nível Standard (antigo) estiver ativado na organização principal. Nível de preços: Premium Recursos compatíveis container.googleapis.com/Cluster Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 7.16 PCI-DSS v3.2.1: 1.3	Verifica se a propriedade privateIpGoogleAccess de uma sub-rede está definida como false. Entradas adicionais: lê sub-redes do armazenamento, arquivando descobertas apenas para clusters com sub-redes Análises em tempo real: sim, mas apenas se o cluster for atualizado, não para atualizações de sub-redes
Cluster secrets encryption disabled Nome da categoria na API: CLUSTER_SECRETS_ENCRYPTION_DISABLED	Descrição da descoberta: A encriptação de segredos da camada de aplicação está desativada num cluster do GKE. Nível de preços: Premium Recursos compatíveis container.googleapis.com/Cluster Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GKE 1.0: 6.3.1	Verifica a propriedade keyName do objeto databaseEncryption quanto ao par de chave-valor "state": ENCRYPTED. Análises em tempo real: sim
Cluster shielded nodes disabled Nome da categoria na API: CLUSTER_SHIELDED_NODES_DISABLED	Descrição da descoberta: Os nós do GKE protegidos não estão ativados para um cluster. Nível de preços: Premium Recursos compatíveis container.googleapis.com/Cluster Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GKE 1.0: 6.5.5	Verifica a propriedade shieldedNodes para o par de chave-valor "enabled": true. Análises em tempo real: sim
COS not used Nome da categoria na API: COS_NOT_USED	Descrição da descoberta: As VMs do Compute Engine não estão a usar o Container-Optimized OS, que foi concebido para executar contentores do Docker de forma Google Cloud segura. Nível de preços: Premium Recursos compatíveis container.googleapis.com/Cluster Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 7.9 CIS GKE 1.0: 6.5.1 PCI-DSS v3.2.1: 2.2	Verifica a propriedade config de um conjunto de nós para o par de chave-valor, "imageType": "COS". Análises em tempo real: sim
Integrity monitoring disabled Nome da categoria na API: INTEGRITY_MONITORING_DISABLED	Descrição da descoberta: A monitorização da integridade está desativada para um cluster do GKE. Nível de preços: Premium Recursos compatíveis container.googleapis.com/Cluster Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GKE 1.0: 6.5.6	Verifica a propriedade shieldedInstanceConfig do objeto nodeConfig quanto ao par de chave-valor "enableIntegrityMonitoring": true. Análises em tempo real: sim
Intranode visibility disabled Nome da categoria na API: INTRANODE_VISIBILITY_DISABLED	Descrição da descoberta: A visibilidade entre nós está desativada para um cluster do GKE. Nível de preços: Premium Recursos compatíveis container.googleapis.com/Cluster Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GKE 1.0: 6.6.1	Verifica a propriedade networkConfig para o par de chave-valor "enableIntraNodeVisibility": true. Análises em tempo real: sim
IP alias disabled Nome da categoria na API: IP_ALIAS_DISABLED	Descrição da descoberta: Foi criado um cluster do GKE com intervalos de IPs de alias desativados. Nível de preços: Premium Recursos compatíveis container.googleapis.com/Cluster Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 7.13 CIS GKE 1.0: 6.6.2 PCI-DSS v3.2.1: 1.3.4, 1.3.7	Verifica se o campo useIPAliases de ipAllocationPolicy num cluster está definido como false. Análises em tempo real: sim
Legacy authorization enabled Nome da categoria na API: LEGACY_AUTHORIZATION_ENABLED	Descrição da descoberta: A autorização antiga está ativada nos clusters do GKE. Nível de preços: Premium ou Standard Recursos compatíveis container.googleapis.com/Cluster Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 7.3 CIS GKE 1.0: 6.8.3 PCI-DSS v3.2.1: 4.1	Verifica a propriedade legacyAbac de um cluster para o par de chave-valor, "enabled": true. Análises em tempo real: sim
Legacy metadata enabled Nome da categoria na API: LEGACY_METADATA_ENABLED	Descrição da descoberta: Os metadados antigos estão ativados nos clusters do GKE. Nível de preços: Premium Recursos compatíveis container.googleapis.com/Cluster Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GKE 1.0: 6.4.1	Verifica a propriedade config de um conjunto de nós para o par de chave-valor, "disable-legacy-endpoints": "false". Análises em tempo real: sim
Master authorized networks disabled Nome da categoria na API: MASTER_AUTHORIZED_NETWORKS_DISABLED	Descrição da descoberta: as redes autorizadas do plano de controlo não estão ativadas nos clusters do GKE. Nível de preços: Premium Recursos compatíveis container.googleapis.com/Cluster Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 7.4 CIS GKE 1.0: 6.6.3 PCI-DSS v3.2.1: 1.2.1, 1.3.2	Verifica a propriedade masterAuthorizedNetworksConfig de um cluster para o par de chave-valor, "enabled": false. Análises em tempo real: sim
Network policy disabled Nome da categoria na API: NETWORK_POLICY_DISABLED	Descrição da descoberta: A política de rede está desativada nos clusters do GKE. Nível de preços: Premium Recursos compatíveis container.googleapis.com/Cluster Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 7.11 NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.3 ISO-27001 v2013: A.13.1.1	Verifica o campo networkPolicy da propriedade addonsConfig para o par de chave-valor, "disabled": true. Análises em tempo real: sim
Nodepool boot CMEK disabled Nome da categoria na API: NODEPOOL_BOOT_CMEK_DISABLED	Descrição da descoberta: os discos de arranque neste conjunto de nós não estão encriptados com chaves de encriptação geridas pelo cliente (CMEK). Este detetor requer uma configuração adicional para ser ativado. Para ver instruções, consulte o artigo Ative e desative detetores. Nível de preços: Premium Recursos compatíveis container.googleapis.com/Cluster Corrija esta descoberta Esta categoria de descoberta não está mapeada para nenhum padrão de conformidade.	Verifica a propriedade bootDiskKmsKey dos conjuntos de nós para o nome do recurso da sua CMEK. Análises em tempo real: sim
Nodepool secure boot disabled Nome da categoria na API: NODEPOOL_SECURE_BOOT_DISABLED	Descrição da descoberta: O arranque seguro está desativado para um cluster do GKE. Nível de preços: Premium Recursos compatíveis container.googleapis.com/Cluster Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GKE 1.0: 6.5.7	Verifica a propriedade shieldedInstanceConfig do objeto nodeConfig quanto ao par de chave-valor "enableSecureBoot": true. Análises em tempo real: sim
Over privileged account Nome da categoria na API: OVER_PRIVILEGED_ACCOUNT	Descrição da descoberta: Uma conta de serviço tem um acesso ao projeto demasiado amplo num cluster. Nível de preços: Premium Recursos compatíveis container.googleapis.com/Cluster Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 7.17 NIST 800-53 R4: AC-6, SC-7 CIS GKE 1.0: 6.2.1 PCI-DSS v3.2.1: 2.1, 7.1.2 ISO-27001 v2013: A.9.2.3	Avalia a propriedade config de um conjunto de nós para verificar se não está especificada nenhuma conta de serviço ou se é usada a conta de serviço predefinida. Análises em tempo real: sim
Over privileged scopes Nome da categoria na API: OVER_PRIVILEGED_SCOPES	Descrição da deteção: Uma conta de serviço de nó tem âmbitos de acesso amplos. Nível de preços: Premium Recursos compatíveis container.googleapis.com/Cluster Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 7.18 CIS GKE 1.0: 6.2.1	Verifica se o âmbito de acesso indicado na propriedade config.oauthScopes de um conjunto de nós é um âmbito de acesso limitado da conta de serviço: https://www.googleapis.com/auth/devstorage.read_only, https://www.googleapis.com/auth/logging.write ou https://www.googleapis.com/auth/monitoring. Análises em tempo real: sim
Pod security policy disabled Nome da categoria na API: POD_SECURITY_POLICY_DISABLED	Descrição da descoberta: a PodSecurityPolicy está desativada num cluster do GKE. Para ativações ao nível do projeto do nível Premium do Security Command Center, esta descoberta só está disponível se o nível Standard (antigo) estiver ativado na organização principal. Nível de preços: Premium Recursos compatíveis container.googleapis.com/Cluster Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 7.14 CIS GKE 1.0: 6.10.3	Verifica a propriedade podSecurityPolicyConfig de um cluster para o par de chave-valor, "enabled": false. Autorizações de IAM adicionais: roles/container.clusterViewer Entradas adicionais: lê as informações do cluster do GKE, uma vez que as políticas de segurança de pods são uma funcionalidade beta. O Kubernetes descontinuou oficialmente o PodSecurityPolicy na versão 1.21. A PodSecurityPolicy vai ser encerrada na versão 1.25. Para informações sobre alternativas, consulte a descontinuação da PodSecurityPolicy. Análises em tempo real: não
Private cluster disabled Nome da categoria na API: PRIVATE_CLUSTER_DISABLED	Descrição da descoberta: um cluster do GKE tem um cluster privado desativado. Nível de preços: Premium Recursos compatíveis container.googleapis.com/Cluster Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 7.15 CIS GKE 1.0: 6.6.5 PCI-DSS v3.2.1: 1.3.2	Verifica se o campo enablePrivateNodes da propriedade privateClusterConfig está definido como false. Análises em tempo real: sim
Release channel disabled Nome da categoria na API: RELEASE_CHANNEL_DISABLED	Descrição da descoberta: Um cluster do GKE não está subscrito num canal de lançamento. Nível de preços: Premium Recursos compatíveis container.googleapis.com/Cluster Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GKE 1.0: 6.5.4	Verifica a propriedade releaseChannel para o par de chave-valor "channel": UNSPECIFIED. Análises em tempo real: sim
Web UI enabled Nome da categoria na API: WEB_UI_ENABLED	Descrição da descoberta: A IU Web do GKE (painel de controlo) está ativada. Nível de preços: Premium ou Standard Recursos compatíveis container.googleapis.com/Cluster Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 7.6 CIS GKE 1.0: 6.10.1 PCI-DSS v3.2.1: 6.6	Verifica o campo kubernetesDashboard da propriedade addonsConfig para o par de chave-valor, "disabled": false. Análises em tempo real: sim
Workload Identity disabled Nome da categoria na API: WORKLOAD_IDENTITY_DISABLED	Descrição da descoberta: A Workload Identity Federation para o GKE está desativada num cluster do GKE. Nível de preços: Premium Recursos compatíveis container.googleapis.com/Cluster Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GKE 1.0: 6.2.2	Verifica se a propriedade workloadIdentityConfig de um cluster está definida. O detetor também verifica se a propriedade workloadMetadataConfig de um conjunto de nós está definida como GKE_METADATA. Autorizações de IAM adicionais: roles/container.clusterViewer Análises em tempo real: sim

Descobertas de vulnerabilidades do serviço gerido para Apache Spark

As vulnerabilidades deste tipo de detetor estão todas relacionadas com o Managed Service for Apache Spark e pertencem ao tipo de detetor DATAPROC_SCANNER.

Detetor	Resumo	Definições de análise de recursos
Dataproc CMEK disabled Nome da categoria na API: DATAPROC_CMEK_DISABLED	Descrição da descoberta: Foi criado um cluster do Managed Service for Apache Spark sem uma configuração de encriptação CMEK. Com as CMEK, as chaves que cria e gere no Cloud Key Management Service envolvem as chaves que o Google Cloud usa para encriptar os seus dados, o que lhe dá mais controlo sobre o acesso aos seus dados. Este detetor requer uma configuração adicional para ser ativado. Para ver instruções, consulte o artigo Ative e desative detetores. Nível de preços: Premium Recursos compatíveis dataproc.googleapis.com/Cluster Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.3: 1.17 CIS GCP Foundation 2.0: 1.17 CIS GCP Foundation 3.0: 8.1 NIST 800-53 R5: IA-5, SC-28 PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2 ISO-27001 v2022: A.5.33 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-1 SOC2 v2017: CC6.1.10, CC6.1.3 HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii) CIS Controls 8.0: 3.11	Verifica se o campo kmsKeyName na propriedade encryptionConfiguration está vazio. Análises em tempo real: sim
Dataproc image outdated Nome da categoria na API: DATAPROC_IMAGE_OUTDATED	Descrição da descoberta: Foi criado um cluster do Managed Service for Apache Spark com uma versão da imagem do Managed Service for Apache Spark que é afetada por vulnerabilidades de segurança no utilitário Apache Log4j 2 (CVE-2021-44228 e CVE-2021-45046). Nível de preços: Premium ou Standard Recursos compatíveis dataproc.googleapis.com/Cluster Corrija esta descoberta Esta categoria de descoberta não está mapeada para nenhum padrão de conformidade.	Verifica se o campo softwareConfig.imageVersion na propriedade config de um Cluster é anterior a 1.3.95 ou é uma versão da imagem secundária anterior a 1.4.77, 1.5.53 ou 2.0.27. Análises em tempo real: sim

Resultados de vulnerabilidades do conjunto de dados

As vulnerabilidades deste tipo de detetor estão todas relacionadas com as configurações do conjunto de dados do BigQuery e pertencem ao tipo de detetor DATASET_SCANNER.

Detetor	Resumo	Definições de análise de recursos
BigQuery table CMEK disabled Nome da categoria na API: BIGQUERY_TABLE_CMEK_DISABLED	Descrição da descoberta: Uma tabela do BigQuery não está configurada para usar uma chave de encriptação gerida pelo cliente (CMEK). Este detetor requer uma configuração adicional para ser ativado. Para ver instruções, consulte o artigo Ative e desative detetores. Nível de preços: Premium Recursos compatíveis bigquery.googleapis.com/Table Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.2: 7.2 CIS GCP Foundation 1.3: 7.2 CIS GCP Foundation 2.0: 7.2 CIS GCP Foundation 3.0: 7.2 NIST 800-53 R5: IA-5, SC-28 PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2 ISO-27001 v2022: A.5.33 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-1 SOC2 v2017: CC6.1.10, CC6.1.3 HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii) CIS Controls 8.0: 3.11	Verifica se o campo kmsKeyName na propriedade encryptionConfiguration está vazio. Análises em tempo real: sim
Dataset CMEK disabled Nome da categoria na API: DATASET_CMEK_DISABLED	Descrição da descoberta: Um conjunto de dados do BigQuery não está configurado para usar uma CMEK predefinida. Este detetor requer uma configuração adicional para ser ativado. Para ver instruções, consulte o artigo Ative e desative detetores. Nível de preços: Premium Recursos compatíveis bigquery.googleapis.com/Dataset Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.2: 7.3 CIS GCP Foundation 1.3: 7.3 CIS GCP Foundation 2.0: 7.3 CIS GCP Foundation 3.0: 7.3 NIST 800-53 R5: IA-5, SC-28 PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2 ISO-27001 v2022: A.5.33 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-1 SOC2 v2017: CC6.1.10, CC6.1.3 HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii) CIS Controls 8.0: 3.11	Verifica se o campo kmsKeyName na propriedade defaultEncryptionConfiguration está vazio. Análises em tempo real: não
Public dataset Nome da categoria na API: PUBLIC_DATASET	Descrição da descoberta: Um conjunto de dados está configurado para estar aberto ao acesso público. Nível de preços: Premium ou Standard Recursos compatíveis bigquery.googleapis.com/Dataset Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.1: 7.1 CIS GCP Foundation 1.2: 7.1 CIS GCP Foundation 1.3: 7.1 CIS GCP Foundation 2.0: 7.1 CIS GCP Foundation 3.0: 7.1 NIST 800-53 R4: AC-2 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v3.2.1: 7.1 PCI-DSS v4.0: 1.3.1 ISO-27001 v2013: A.14.1.3, A.8.2.3 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	Verifica a política de autorização de IAM nos metadados do recurso para os principais allUsers ou allAuthenticatedUsers, que concedem acesso público. Análises em tempo real: sim

Resultados de vulnerabilidades de DNS

As vulnerabilidades deste tipo de detetor estão todas relacionadas com as configurações do Cloud DNS e pertencem ao tipo de detetor DNS_SCANNER.

Detetor	Resumo	Definições de análise de recursos
DNSSEC disabled Nome da categoria na API: DNSSEC_DISABLED	Descrição da descoberta: As DNSSEC estão desativadas para as zonas do Cloud DNS. Nível de preços: Premium Recursos compatíveis dns.googleapis.com/ManagedZone Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 3.3 CIS GCP Foundation 1.1: 3.3 CIS GCP Foundation 1.2: 3.3 CIS GCP Foundation 1.3: 3.3 CIS GCP Foundation 2.0: 3.3 CIS GCP Foundation 3.0: 3.3 NIST 800-53 R5: AC-18, CM-2, CM-6, CM-7, CM-9 PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.4.2, 1.5.1, 2.1.1, 2.2.1 ISO-27001 v2013: A.8.2.3 ISO-27001 v2022: A.8.9 Cloud Controls Matrix 4: IVS-04 NIST Cybersecurity Framework 1.0: PR-IP-1 SOC2 v2017: CC5.2.2 CIS Controls 8.0: 4.2	Verifica se o campo state da propriedade dnssecConfig está definido como off. Recursos excluídos das análises: zonas do Cloud DNS que não são públicas Análises em tempo real: sim
RSASHA1 for signing Nome da categoria na API: RSASHA1_FOR_SIGNING	Descrição da descoberta: o RSASHA1 é usado para a assinatura de chaves em zonas do Cloud DNS. Nível de preços: Premium Recursos compatíveis dns.googleapis.com/ManagedZone Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 3.4, 3.5 CIS GCP Foundation 1.1: 3.4, 3.5 CIS GCP Foundation 1.2: 3.4, 3.5 CIS GCP Foundation 1.3: 3.4, 3.5 CIS GCP Foundation 2.0: 3.4, 3.5 CIS GCP Foundation 3.0: 3.4, 3.5 NIST 800-53 R5: AC-18, CM-2, CM-6, CM-7, CM-9 PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.4.2, 1.5.1, 2.1.1, 2.2.1 ISO-27001 v2022: A.8.9 Cloud Controls Matrix 4: IVS-04 NIST Cybersecurity Framework 1.0: PR-IP-1 SOC2 v2017: CC5.2.2 CIS Controls 8.0: 4.2	Verifica se o objeto defaultKeySpecs.algorithm da propriedade dnssecConfig está definido como rsasha1. Análises em tempo real: sim

Descobertas de vulnerabilidades da firewall

As vulnerabilidades deste tipo de detetor estão todas relacionadas com as configurações da firewall e pertencem ao tipo de detetor FIREWALL_SCANNER.

Detetor	Resumo	Definições de análise de recursos
Egress deny rule not set Nome da categoria na API: EGRESS_DENY_RULE_NOT_SET	Descrição da deteção: Não está definida uma regra de recusa de saída numa firewall. As regras de recusa de saída devem ser definidas para bloquear o tráfego de saída indesejado. Para ativações ao nível do projeto do nível Premium do Security Command Center, esta descoberta só está disponível se o nível Standard (antigo) estiver ativado na organização principal. Nível de preços: Premium Recursos compatíveis compute.googleapis.com/Firewall Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: PCI-DSS v3.2.1: 7.2	Verifica se a propriedade destinationRanges na firewall está definida como 0.0.0.0/0 e se a propriedade denied contém o par de chave-valor, "IPProtocol": "all". Entradas adicionais: lê firewalls de saída para um projeto a partir do armazenamento Análises em tempo real: sim, mas apenas em alterações ao projeto, não em alterações às regras da firewall
Firewall rule logging disabled Nome da categoria na API: FIREWALL_RULE_LOGGING_DISABLED	Descrição da deteção: O registo de regras de firewall está desativado. O registo de regras da firewall deve estar ativado para que possa auditar o acesso à rede. Nível de preços: Premium Recursos compatíveis compute.googleapis.com/Firewall Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R4: SI-4 PCI-DSS v3.2.1: 10.1, 10.2 ISO-27001 v2013: A.13.1.1	Verifica a propriedade logConfig nos metadados da firewall para ver se está vazia ou contém o par de chave-valor "enable": false. Recursos excluídos das análises: instâncias do GKE, regras de firewall criadas pelo GKE, Acesso a VPC sem servidor Análises em tempo real: sim
Open Cassandra port Nome da categoria na API: OPEN_CASSANDRA_PORT	Descrição da descoberta: uma firewall está configurada para ter uma porta Cassandra aberta que permite o acesso genérico. Nível de preços: Premium Recursos compatíveis compute.googleapis.com/Firewall Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Verifica a propriedade allowed nos metadados da firewall para os seguintes protocolos e portas: TCP:7000-7001, 7199, 8888, 9042, 9160, 61620-61621. Análises em tempo real: sim
Open ciscosecure websm port Nome da categoria na API: OPEN_CISCOSECURE_WEBSM_PORT	Descrição da deteção: Uma firewall está configurada para ter uma porta CISCOSECURE_WEBSM aberta que permite o acesso genérico. Nível de preços: Premium ou Standard Recursos compatíveis compute.googleapis.com/Firewall Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Verifica a propriedade allowed nos metadados da firewall para o seguinte protocolo e porta: TCP:9090. Análises em tempo real: sim
Open directory services port Nome da categoria na API: OPEN_DIRECTORY_SERVICES_PORT	Descrição da deteção: Uma firewall está configurada para ter uma porta DIRECTORY_SERVICES aberta que permite o acesso genérico. Nível de preços: Premium ou Standard Recursos compatíveis compute.googleapis.com/Firewall Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Verifica a propriedade allowed nos metadados da firewall para os seguintes protocolos e portas: TCP:445 e UDP:445. Análises em tempo real: sim
Open DNS port Nome da categoria na API: OPEN_DNS_PORT	Descrição da deteção: Uma firewall está configurada para ter uma porta DNS aberta que permite o acesso genérico. Nível de preços: Premium Recursos compatíveis compute.googleapis.com/Firewall Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Verifica a propriedade allowed nos metadados da firewall para os seguintes protocolos e portas: TCP:53 e UDP:53. Análises em tempo real: sim
Open elasticsearch port Nome da categoria na API: OPEN_ELASTICSEARCH_PORT	Descrição da descoberta: uma firewall está configurada para ter uma porta ELASTICSEARCH aberta que permite o acesso genérico. Nível de preços: Premium Recursos compatíveis compute.googleapis.com/Firewall Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Verifica a propriedade allowed nos metadados da firewall para os seguintes protocolos e portas: TCP:9200, 9300. Análises em tempo real: sim
Open firewall Nome da categoria na API: OPEN_FIREWALL	Descrição da descoberta: Uma firewall está configurada para estar aberta ao acesso público. Nível de preços: Premium ou Standard Recursos compatíveis compute.googleapis.com/Firewall Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: PCI-DSS v3.2.1: 1.2.1	Verifica as propriedades sourceRanges e allowed para uma de duas configurações: A propriedade sourceRanges contém 0.0.0.0/0 e a propriedade allowed contém uma combinação de regras que inclui qualquer protocol ou protocol:port, exceto o seguinte: icmp tcp:22 tcp:443 tcp:3389 udp:3389 sctp:22 A propriedade sourceRanges contém uma combinação de intervalos de IP que inclui qualquer endereço IP não privado e a propriedade allowed contém uma combinação de regras que permitem todas as portas TCP ou todas as portas UDP. Recursos excluídos das análises: regras de firewall criadas pelo GKE, intervalos de IPs privados reservados do Google Cloud balanceador de carga Análises em tempo real: sim
Open FTP port Nome da categoria na API: OPEN_FTP_PORT	Descrição da deteção: Uma firewall está configurada para ter uma porta FTP aberta que permite o acesso genérico. Nível de preços: Premium Recursos compatíveis compute.googleapis.com/Firewall Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Verifica a propriedade allowed nos metadados da firewall para o seguinte protocolo e porta: TCP:21. Análises em tempo real: sim
Open HTTP port Nome da categoria na API: OPEN_HTTP_PORT	Descrição da deteção: uma firewall está configurada para ter uma porta HTTP aberta que permite o acesso genérico. Nível de preços: Premium Recursos compatíveis compute.googleapis.com/Firewall Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Verifica a propriedade allowed nos metadados da firewall para os seguintes protocolos e portas: TCP:80. Análises em tempo real: sim
Open LDAP port Nome da categoria na API: OPEN_LDAP_PORT	Descrição da descoberta: Uma firewall está configurada para ter uma porta LDAP aberta que permite o acesso genérico. Nível de preços: Premium Recursos compatíveis compute.googleapis.com/Firewall Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Verifica a propriedade allowed nos metadados da firewall para os seguintes protocolos e portas: TCP:389, 636 e UDP:389. Análises em tempo real: sim
Open Memcached port Nome da categoria na API: OPEN_MEMCACHED_PORT	Descrição da deteção: Uma firewall está configurada para ter uma porta MEMCACHED aberta que permite o acesso genérico. Nível de preços: Premium Recursos compatíveis compute.googleapis.com/Firewall Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Verifica a propriedade allowed nos metadados da firewall para os seguintes protocolos e portas: TCP:11211, 11214-11215 e UDP:11211, 11214-11215. Análises em tempo real: sim
Open MongoDB port Nome da categoria na API: OPEN_MONGODB_PORT	Descrição da descoberta: Uma firewall está configurada para ter uma porta MONGODB aberta que permite o acesso genérico. Nível de preços: Premium Recursos compatíveis compute.googleapis.com/Firewall Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Verifica a propriedade allowed nos metadados da firewall para os seguintes protocolos e portas: TCP:27017-27019. Análises em tempo real: sim
Open MySQL port Nome da categoria na API: OPEN_MYSQL_PORT	Descrição da deteção: Uma firewall está configurada para ter uma porta MYSQL aberta que permite o acesso genérico. Nível de preços: Premium Recursos compatíveis compute.googleapis.com/Firewall Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Verifica a propriedade allowed nos metadados da firewall para o seguinte protocolo e porta: TCP:3306. Análises em tempo real: sim
Open NetBIOS port Nome da categoria na API: OPEN_NETBIOS_PORT	Descrição da deteção: Uma firewall está configurada para ter uma porta NETBIOS aberta que permite o acesso genérico. Nível de preços: Premium Recursos compatíveis compute.googleapis.com/Firewall Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Verifica a propriedade allowed nos metadados da firewall para os seguintes protocolos e portas: TCP:137-139 e UDP:137-139. Análises em tempo real: sim
Open OracleDB port Nome da categoria na API: OPEN_ORACLEDB_PORT	Descrição da descoberta: Uma firewall está configurada para ter uma porta ORACLEDB aberta que permite o acesso genérico. Nível de preços: Premium Recursos compatíveis compute.googleapis.com/Firewall Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Verifica a propriedade allowed nos metadados da firewall para os seguintes protocolos e portas: TCP:1521, 2483-2484 e UDP:2483-2484. Análises em tempo real: sim
Open pop3 port Nome da categoria na API: OPEN_POP3_PORT	Descrição da deteção: Uma firewall está configurada para ter uma porta POP3 aberta que permite o acesso genérico. Nível de preços: Premium Recursos compatíveis compute.googleapis.com/Firewall Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Verifica a propriedade allowed nos metadados da firewall para o seguinte protocolo e porta: TCP:110. Análises em tempo real: sim
Open PostgreSQL port Nome da categoria na API: OPEN_POSTGRESQL_PORT	Descrição da deteção: Uma firewall está configurada para ter uma porta PostgreSQL aberta que permite o acesso genérico. Nível de preços: Premium Recursos compatíveis compute.googleapis.com/Firewall Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Verifica a propriedade allowed nos metadados da firewall para os seguintes protocolos e portas: TCP:5432 e UDP:5432. Análises em tempo real: sim
Open RDP port Nome da categoria na API: OPEN_RDP_PORT	Descrição da descoberta: Uma firewall está configurada para ter uma porta RDP aberta que permite o acesso genérico. Nível de preços: Premium ou Standard Recursos compatíveis compute.googleapis.com/Firewall Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 3.7 CIS GCP Foundation 1.1: 3.7 CIS GCP Foundation 1.2: 3.7 CIS GCP Foundation 1.3: 3.7 CIS GCP Foundation 2.0: 3.7 CIS GCP Foundation 3.0: 3.7 NIST 800-53 R4: SC-7 NIST 800-53 R5: CA-9, SC-7 PCI-DSS v3.2.1: 1.2.1 PCI-DSS v4.0: 1.2.1, 1.4.1 ISO-27001 v2013: A.13.1.1 SOC2 v2017: CC6.6.1, CC6.6.4 CIS Controls 8.0: 4.4, 4.5	Verifica a propriedade allowed nos metadados da firewall para os seguintes protocolos e portas: TCP:3389 e UDP:3389. Análises em tempo real: sim
Open Redis port Nome da categoria na API: OPEN_REDIS_PORT	Descrição da deteção: uma firewall está configurada para ter uma porta REDIS aberta que permite o acesso genérico. Nível de preços: Premium Recursos compatíveis compute.googleapis.com/Firewall Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Verifica se a propriedade allowed nos metadados da firewall contém o seguinte protocolo e porta: TCP:6379. Análises em tempo real: sim
Open SMTP port Nome da categoria na API: OPEN_SMTP_PORT	Descrição da deteção: uma firewall está configurada para ter uma porta SMTP aberta que permite o acesso genérico. Nível de preços: Premium Recursos compatíveis compute.googleapis.com/Firewall Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Verifica se a propriedade allowed nos metadados da firewall contém o seguinte protocolo e porta: TCP:25. Análises em tempo real: sim
Open SSH port Nome da categoria na API: OPEN_SSH_PORT	Descrição da deteção: Uma firewall está configurada para ter uma porta SSH aberta que permite o acesso genérico. Nível de preços: Premium ou Standard Recursos compatíveis compute.googleapis.com/Firewall Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 3.6 CIS GCP Foundation 1.1: 3.6 CIS GCP Foundation 1.2: 3.6 CIS GCP Foundation 1.3: 3.6 CIS GCP Foundation 2.0: 3.6 CIS GCP Foundation 3.0: 3.6 NIST 800-53 R4: SC-7 NIST 800-53 R5: CA-9, SC-7 PCI-DSS v3.2.1: 1.2.1 PCI-DSS v4.0: 1.2.1, 1.4.1 ISO-27001 v2013: A.13.1.1 SOC2 v2017: CC6.6.1, CC6.6.4 CIS Controls 8.0: 4.4, 4.5	Verifica se a propriedade allowed nos metadados da firewall contém os seguintes protocolos e portas: TCP:22 e SCTP:22. Análises em tempo real: sim
Open Telnet port Nome da categoria na API: OPEN_TELNET_PORT	Descrição da deteção: Uma firewall está configurada para ter uma porta TELNET aberta que permite o acesso genérico. Nível de preços: Premium ou Standard Recursos compatíveis compute.googleapis.com/Firewall Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	Verifica se a propriedade allowed nos metadados da firewall contém o seguinte protocolo e porta: TCP:23. Análises em tempo real: sim

Resultados de vulnerabilidades de IAM

As vulnerabilidades deste tipo de detetor estão todas relacionadas com a configuração da Gestão de identidade e de acesso (IAM) e pertencem ao tipo de detetor IAM_SCANNER.

Detetor	Resumo	Definições de análise de recursos
Access Transparency disabled Nome da categoria na API: ACCESS_TRANSPARENCY_DISABLED	Descrição da descoberta: Google Cloud A Transparência de acesso está desativada para a sua organização. Registos da Transparência de acesso quando os Google Cloud funcionários acedem aos projetos na sua organização para prestar apoio técnico. Ative a Transparência de acesso para registar quem, Google Cloud quando e por que motivo está a aceder às suas informações. Nível de preços: Premium Recursos compatíveis cloudresourcemanager.googleapis.com/Organization Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.3: 2.14 CIS GCP Foundation 2.0: 2.14 CIS GCP Foundation 3.0: 2.14	Verifica se a sua organização tem a Transparência do acesso ativada. Análises em tempo real: não
Admin service account Nome da categoria na API: ADMIN_SERVICE_ACCOUNT	Descrição da descoberta: uma conta de serviço tem privilégios de administrador, proprietário ou editor. Estas funções não devem ser atribuídas a contas de serviço criadas pelo utilizador. Nível de preços: Premium Recursos compatíveis cloudresourcemanager.googleapis.com/Organization cloudresourcemanager.googleapis.com/Folder cloudresourcemanager.googleapis.com/Project Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 1.4 CIS GCP Foundation 1.1: 1.5 CIS GCP Foundation 1.2: 1.5 CIS GCP Foundation 1.3: 1.5 CIS GCP Foundation 2.0: 1.5 CIS GCP Foundation 3.0: 1.5 NIST 800-53 R5: AC-6 ISO-27001 v2022: A.5.15, A.8.2 Cloud Controls Matrix 4: IAM-09 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC6.1.3, CC6.1.4, CC6.1.7, CC6.1.8, CC6.3.1, CC6.3.2, CC6.3.3 CIS Controls 8.0: 5.4	Verifica a política de autorização do IAM nos metadados do recurso para contas de serviço criadas pelo utilizador (indicadas pelo prefixo ) às quais está atribuída a função roles/Owner ou roles/Editor, ou um ID de função que contém admin. Recursos excluídos das análises: conta de serviço do Container Registry (containerregistry.) e a conta de serviço do Security Command Center (security-center-api.) Análises em tempo real: sim, a menos que a atualização da IAM seja feita numa pasta
Essential Contacts Not Configured Nome da categoria na API: ESSENTIAL_CONTACTS_NOT_CONFIGURED	Descrição da descoberta: A sua organização não designou uma pessoa ou um grupo para receber notificações do Google Cloud sobre eventos importantes, como ataques, vulnerabilidades e incidentes de dados na sua Google Cloud organização. Recomendamos que designe como Contacto essencial uma ou mais pessoas ou grupos na sua organização empresarial. Nível de preços: Premium Recursos compatíveis cloudresourcemanager.googleapis.com/Organization Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.3: 1.16 CIS GCP Foundation 2.0: 1.16 CIS GCP Foundation 3.0: 1.16 NIST 800-53 R5: IR-6 ISO-27001 v2022: A.5.20, A.5.24, A.5.5, A.5.6 Cloud Controls Matrix 4: SEF-08 NIST Cybersecurity Framework 1.0: RS-CO-1 SOC2 v2017: CC2.3.1 CIS Controls 8.0: 17.2	Verifica se é especificado um contacto para as seguintes categorias de contactos essenciais: Legal Segurança Suspensão Técnico Análises em tempo real: não
KMS role separation Nome da categoria na API: KMS_ROLE_SEPARATION	Descrição da deteção: A separação de funções não é aplicada e existe um utilizador que tem a função Administrador do Cloud KMS e qualquer uma das seguintes funções do Cloud Key Management Service (Cloud KMS) em simultâneo: Encriptador/desencriptador de CryptoKey, Encriptador, Desencriptador, Visualizador de chaves públicas, Signatário ou Signatário/validador. Esta descoberta não está disponível para ativações ao nível do projeto. Nível de preços: Premium Recursos compatíveis cloudresourcemanager.googleapis.com/Organization cloudresourcemanager.googleapis.com/Folder cloudresourcemanager.googleapis.com/Project Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 1.9 CIS GCP Foundation 1.1: 1.11 CIS GCP Foundation 2.0: 1.11 NIST 800-53 R4: AC-5 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2013: A.10.1.2, A.9.2.3 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	Verifica as políticas de autorização de IAM nos metadados do recurso e obtém os responsáveis atribuídos a qualquer uma das seguintes funções ao mesmo tempo: roles/cloudkms.cryptoKeyEncrypterDecrypter, roles/cloudkms.cryptoKeyEncrypter e roles/cloudkms.cryptoKeyDecrypter, roles/cloudkms.signer, roles/cloudkms.signerVerifier, roles/cloudkms.publicKeyViewer. Análises em tempo real: sim
Non org IAM member Nome da categoria na API: NON_ORG_IAM_MEMBER	Descrição da descoberta: Existe um utilizador que não está a usar credenciais organizacionais. De acordo com o CIS GCP Foundations 1.0, atualmente, apenas as identidades com endereços de email @gmail.com acionam este detetor. Nível de preços: Premium ou Standard Recursos compatíveis cloudresourcemanager.googleapis.com/Organization cloudresourcemanager.googleapis.com/Folder cloudresourcemanager.googleapis.com/Project Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 1.1 CIS GCP Foundation 1.1: 1.1 CIS GCP Foundation 1.2: 1.1 CIS GCP Foundation 1.3: 1.1 CIS GCP Foundation 2.0: 1.1 CIS GCP Foundation 3.0: 1.1 NIST 800-53 R4: AC-3 PCI-DSS v3.2.1: 7.1.2 ISO-27001 v2013: A.9.2.3	Compara os endereços de email @gmail.com no campo user nos metadados da política de autorização do IAM com uma lista de identidades aprovadas para a sua organização. Análises em tempo real: sim
Open group IAM member Nome da categoria na API: OPEN_GROUP_IAM_MEMBER	Descrição da descoberta: Uma conta do Grupos Google à qual é possível aderir sem aprovação é usada como um responsável da política de autorização do IAM. Nível de preços: Premium ou Standard Recursos compatíveis cloudresourcemanager.googleapis.com/Organization cloudresourcemanager.googleapis.com/Folder cloudresourcemanager.googleapis.com/Project Corrija esta descoberta Esta categoria de descoberta não está mapeada para nenhum padrão de conformidade.	Verifica a política de IAM nos metadados do recurso para ver se existem vínculos que contenham um membro (principal) com o prefixo group. Se o grupo for um grupo aberto, o Security Health Analytics gera esta descoberta. Entradas adicionais: lê os metadados do grupo Google para verificar se o grupo identificado é um grupo aberto. Análises em tempo real: não
Over privileged service account user Nome da categoria na API: OVER_PRIVILEGED_SERVICE_ACCOUNT_USER	Descrição da descoberta: Um utilizador tem a função Utilizador da conta de serviço ou Criador de tokens da conta de serviço ao nível do projeto, em vez de uma conta de serviço específica. Nível de preços: Premium Recursos compatíveis cloudresourcemanager.googleapis.com/Organization cloudresourcemanager.googleapis.com/Folder cloudresourcemanager.googleapis.com/Project Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 1.5 CIS GCP Foundation 1.1: 1.6 CIS GCP Foundation 1.2: 1.6 CIS GCP Foundation 1.3: 1.6 CIS GCP Foundation 2.0: 1.6 CIS GCP Foundation 3.0: 1.6 NIST 800-53 R4: AC-6 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v3.2.1: 7.1.2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2013: A.9.2.3 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	Verifica a política de autorização de IAM nos metadados do recurso para quaisquer responsáveis atribuídos roles/iam.serviceAccountUser ou roles/iam.serviceAccountTokenCreator ao nível do projeto. Recursos excluídos das análises: contas de serviço do Cloud Build Análises em tempo real: não
Primitive roles used Nome da categoria na API: PRIMITIVE_ROLES_USED	Descrição da deteção: Um utilizador tem uma das seguintes funções básicas: Proprietário (roles/owner) Editor (roles/editor) Leitor (roles/viewer) Estas funções são demasiado permissivas e não devem ser usadas. Nível de preços: Premium Recursos compatíveis cloudresourcemanager.googleapis.com/Organization cloudresourcemanager.googleapis.com/Folder cloudresourcemanager.googleapis.com/Project Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R4: AC-6 PCI-DSS v3.2.1: 7.1.2 ISO-27001 v2013: A.9.2.3	Verifica a política de autorização de IAM nos metadados do recurso para quaisquer responsáveis aos quais seja atribuída uma função de roles/owner, roles/editor ou roles/viewer. Análises em tempo real: sim
Redis role used on org Nome da categoria na API: REDIS_ROLE_USED_ON_ORG	Descrição da descoberta: uma função de IAM do Redis é atribuída ao nível da organização ou da pasta. Esta descoberta não está disponível para ativações ao nível do projeto. Nível de preços: Premium Recursos compatíveis cloudresourcemanager.googleapis.com/Organization Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: PCI-DSS v3.2.1: 7.1.2 ISO-27001 v2013: A.9.2.3	Verifica a política de autorização do IAM nos metadados do recurso para os principais atribuídos roles/redis.admin, roles/redis.editor, roles/redis.viewer ao nível da organização ou da pasta. Análises em tempo real: sim
Service account role separation Nome da categoria na API: SERVICE_ACCOUNT_ROLE_SEPARATION	Descrição da descoberta: Foi atribuída a um utilizador as funções de Administrador da conta de serviço e Utilizador da conta de serviço. Isto viola o princípio de "Separação de funções". Esta descoberta não está disponível para ativações ao nível do projeto. Nível de preços: Premium Recursos compatíveis cloudresourcemanager.googleapis.com/Organization cloudresourcemanager.googleapis.com/Folder cloudresourcemanager.googleapis.com/Project Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 1.7 CIS GCP Foundation 1.1: 1.8 CIS GCP Foundation 1.2: 1.8 CIS GCP Foundation 1.3: 1.8 CIS GCP Foundation 2.0: 1.8 CIS GCP Foundation 3.0: 1.8 NIST 800-53 R4: AC-5 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2013: A.9.2.3 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	Verifica a política de autorização de IAM nos metadados do recurso para quaisquer responsáveis atribuídos a roles/iam.serviceAccountUser e roles/iam.serviceAccountAdmin. Análises em tempo real: sim
Service account key not rotated Nome da categoria na API: SERVICE_ACCOUNT_KEY_NOT_ROTATED	Descrição da descoberta: Uma chave de conta de serviço não foi alternada há mais de 90 dias. Nível de preços: Premium Recursos compatíveis iam.googleapis.com/ServiceAccountKey Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 1.6 CIS GCP Foundation 1.1: 1.7 CIS GCP Foundation 1.2: 1.7 CIS GCP Foundation 1.3: 1.7 CIS GCP Foundation 2.0: 1.7 CIS GCP Foundation 3.0: 1.7	Avalia a data/hora de criação da chave captada na propriedade validAfterTime nos metadados da chave das contas de serviço. Recursos excluídos das análises: chaves de contas de serviço expiradas e chaves não geridas por utilizadores Análises em tempo real: sim
User managed service account key Nome da categoria na API: USER_MANAGED_SERVICE_ACCOUNT_KEY	Descrição da descoberta: Um utilizador gere uma chave da conta de serviço. Nível de preços: Premium Recursos compatíveis iam.googleapis.com/ServiceAccountKey Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 1.3 CIS GCP Foundation 1.1: 1.4 CIS GCP Foundation 1.2: 1.4 CIS GCP Foundation 1.3: 1.4 CIS GCP Foundation 2.0: 1.4 CIS GCP Foundation 3.0: 1.4	Verifica se a propriedade keyType nos metadados da chave da conta de serviço está definida como User_Managed. Análises em tempo real: sim

Descobertas de vulnerabilidades do KMS

As vulnerabilidades deste tipo de detetor estão todas relacionadas com as configurações do Cloud KMS e pertencem ao tipo de detetor KMS_SCANNER.

Detetor	Resumo	Definições de análise de recursos
KMS key not rotated Nome da categoria na API: KMS_KEY_NOT_ROTATED	Descrição da descoberta: A rotação não está configurada numa chave de encriptação do Cloud KMS. As chaves devem ser alternadas num período de 90 dias. Nível de preços: Premium Recursos compatíveis cloudkms.googleapis.com/CryptoKey Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 1.8 CIS GCP Foundation 1.1: 1.10 CIS GCP Foundation 1.2: 1.10 CIS GCP Foundation 1.3: 1.10 CIS GCP Foundation 2.0: 1.10 NIST 800-53 R4: SC-12 NIST 800-53 R5: IA-5, SC-28 PCI-DSS v3.2.1: 3.5 PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2 ISO-27001 v2013: A.10.1.2 ISO-27001 v2022: A.5.33 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-1 SOC2 v2017: CC6.1.10, CC6.1.3 HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii) CIS Controls 8.0: 3.11	Verifica se os metadados do recurso contêm as propriedades rotationPeriod ou nextRotationTime. Recursos excluídos das análises: chaves assimétricas e chaves com versões principais desativadas ou destruídas Análises em tempo real: sim
KMS project has owner Nome da categoria na API: KMS_PROJECT_HAS_OWNER	Descrição da deteção: um utilizador tem autorizações de Proprietário num projeto que tem chaves criptográficas. Para ativações ao nível do projeto do nível Premium do Security Command Center, esta descoberta só está disponível se o nível Standard (antigo) estiver ativado na organização principal. Nível de preços: Premium Recursos compatíveis cloudresourcemanager.googleapis.com/Project Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.1: 1.11 CIS GCP Foundation 1.2: 1.11 CIS GCP Foundation 1.3: 1.11 CIS GCP Foundation 2.0: 1.11 NIST 800-53 R4: AC-6, SC-12 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v3.2.1: 3.5 PCI-DSS v4.0: 1.3.1 ISO-27001 v2013: A.10.1.2, A.9.2.3 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	Verifica a política de autorização de IAM nos metadados do projeto para os principais atribuídos roles/Owner. Entradas adicionais: lê chaves criptográficas de um projeto a partir do armazenamento, apresentando descobertas apenas para projetos com chaves criptográficas Análises em tempo real: sim, mas apenas em alterações à política de autorização do IAM, não em alterações às chaves do KMS
KMS public key Nome da categoria na API: KMS_PUBLIC_KEY	Descrição da descoberta: Uma chave criptográfica do Cloud KMS está acessível publicamente. Nível de preços: Premium Recursos compatíveis cloudkms.googleapis.com/CryptoKey cloudkms.googleapis.com/KeyRing Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.1: 1.9 CIS GCP Foundation 1.2: 1.9 CIS GCP Foundation 1.3: 1.9 CIS GCP Foundation 2.0: 1.9 CIS GCP Foundation 3.0: 1.9 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	Verifica a política de autorização de IAM nos metadados do recurso para os principais allUsers ou allAuthenticatedUsers, que concedem acesso público. Análises em tempo real: sim
Too many KMS users Nome da categoria na API: TOO_MANY_KMS_USERS	Descrição da descoberta: Existem mais de três utilizadores de chaves criptográficas. Para ativações ao nível do projeto do nível Premium do Security Command Center, esta descoberta só está disponível se o nível Standard (antigo) estiver ativado na organização principal. Nível de preços: Premium Recursos compatíveis cloudkms.googleapis.com/CryptoKey Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: PCI-DSS v3.2.1: 3.5.2 ISO-27001 v2013: A.9.2.3	Verifica as políticas de autorização da IAM para conjuntos de chaves, projetos e organizações, e obtém os responsáveis com funções que lhes permitem encriptar, desencriptar ou assinar dados através de chaves do Cloud KMS: roles/owner, roles/cloudkms.cryptoKeyEncrypterDecrypter, roles/cloudkms.cryptoKeyEncrypter, roles/cloudkms.cryptoKeyDecrypter, roles/cloudkms.signer e roles/cloudkms.signerVerifier. Entradas adicionais: lê versões de chaves criptográficas para uma chave criptográfica do armazenamento, apresentando descobertas apenas para chaves com versões ativas. O detetor também lê as políticas de autorização do IAM do conjunto de chaves, do projeto e da organização a partir do armazenamento Análises em tempo real: sim

Registar descobertas de vulnerabilidades

As vulnerabilidades deste tipo de detetor estão todas relacionadas com as configurações de registo e pertencem ao tipo de detetor LOGGING_SCANNER.

Detetor	Resumo	Definições de análise de recursos
Audit logging disabled Nome da categoria na API: AUDIT_LOGGING_DISABLED	Descrição da descoberta: O registo de auditoria foi desativado para este recurso. Esta descoberta não está disponível para ativações ao nível do projeto. Nível de preços: Premium Recursos compatíveis cloudresourcemanager.googleapis.com/Organization cloudresourcemanager.googleapis.com/Folder cloudresourcemanager.googleapis.com/Project Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 2.1 CIS GCP Foundation 1.1: 2.1 CIS GCP Foundation 1.2: 2.1 CIS GCP Foundation 1.3: 2.1 CIS GCP Foundation 2.0: 2.1 CIS GCP Foundation 3.0: 2.1 NIST 800-53 R4: AC-2, AU-2 NIST 800-53 R5: AU-6, AU-7 PCI-DSS v3.2.1: 10.1, 10.2 PCI-DSS v4.0: 10.4.1, 10.4.1.1, 10.4.2, 10.4.3 ISO-27001 v2013: A.12.4.1, A.16.1.7 ISO-27001 v2022: A.5.25 Cloud Controls Matrix 4: LOG-05 NIST Cybersecurity Framework 1.0: DE-AE-2, PR-PT-1, RS-AN-1 SOC2 v2017: CC4.1.1, CC4.1.2, CC4.1.3, CC4.1.4, CC4.1.5, CC4.1.6, CC4.1.7, CC4.1.8, CC7.3.1, CC7.3.2, CC7.3.3, CC7.3.4, CC7.3.5 HIPAA: 164.308(a)(1)(ii), 164.312(b) CIS Controls 8.0: 8.11, 8.2	Verifica se existe um objeto auditLogConfigs nos metadados do recurso da política de autorização do IAM. Análises em tempo real: sim
Bucket logging disabled Nome da categoria na API: BUCKET_LOGGING_DISABLED	Descrição da descoberta: Existe um contentor de armazenamento sem o registo ativado. Nível de preços: Premium Recursos compatíveis storage.googleapis.com/Bucket Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 5.3	Verifica se o campo logBucket na propriedade logging do contentor está vazio. Análises em tempo real: sim
Locked retention policy not set Nome da categoria na API: LOCKED_RETENTION_POLICY_NOT_SET	Descrição da descoberta: Não está definida uma Política de Retenção bloqueada para os registos. Para ativações ao nível do projeto do nível Premium do Security Command Center, esta descoberta só está disponível se o nível Standard (antigo) estiver ativado na organização principal. Nível de preços: Premium Recursos compatíveis storage.googleapis.com/Bucket Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.1: 2.3 CIS GCP Foundation 1.2: 2.3 CIS GCP Foundation 1.3: 2.3 CIS GCP Foundation 2.0: 2.3 CIS GCP Foundation 3.0: 2.3 NIST 800-53 R4: AU-11 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v3.2.1: 10.5 PCI-DSS v4.0: 1.3.1 ISO-27001 v2013: A.12.4.2, A.18.1.3 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	Verifica se o campo isLocked na propriedade retentionPolicy do contentor está definido como true. Entradas adicionais: lê o coletor de registos (o filtro de registos e o destino de registos) de um contentor para determinar se é um contentor de registos Análises em tempo real: sim
Log not exported Nome da categoria na API: LOG_NOT_EXPORTED	Descrição da deteção: Existe um recurso que não tem um sink de registos adequado configurado. Para ativações ao nível do projeto do nível Premium do Security Command Center, esta descoberta só está disponível se o nível Standard (antigo) estiver ativado na organização principal. Nível de preços: Premium Recursos compatíveis cloudresourcemanager.googleapis.com/Project Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 2.2 CIS GCP Foundation 1.1: 2.2 CIS GCP Foundation 1.2: 2.2 CIS GCP Foundation 1.3: 2.2 CIS GCP Foundation 2.0: 2.2 CIS GCP Foundation 3.0: 2.2 NIST 800-53 R5: AU-12, AU-2, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2 ISO-27001 v2013: A.18.1.3 ISO-27001 v2022: A.8.15, A.8.20 Cloud Controls Matrix 4: LOG-08 NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1 HIPAA: 164.312(b) CIS Controls 8.0: 8.2, 8.3	Obtém um objeto logSink num projeto, verificando se o campo includeChildren está definido como true, se o campo destination inclui a localização para a qual escrever os registos e se o campo filter está preenchido. Entradas adicionais: lê o coletor de registos (o filtro de registos e o destino de registos) de um contentor para determinar se é um contentor de registos Análises em tempo real: sim, mas apenas em alterações ao projeto, não se a exportação de registos estiver configurada na pasta ou organização
Object versioning disabled Nome da categoria na API: OBJECT_VERSIONING_DISABLED	Descrição da deteção: O controlo de versões de objetos não está ativado num contentor de armazenamento onde os sinks estão configurados. Para ativações ao nível do projeto do nível Premium do Security Command Center, esta descoberta só está disponível se o nível Standard (antigo) estiver ativado na organização principal. Nível de preços: Premium Recursos compatíveis storage.googleapis.com/Bucket Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 2.3 NIST 800-53 R4: AU-11 PCI-DSS v3.2.1: 10.5 ISO-27001 v2013: A.12.4.2, A.18.1.3	Verifica se o campo enabled na propriedade versioning do contentor está definido como true. Recursos excluídos das análises: contentores do Cloud Storage com uma Política de Retenção bloqueada Entradas adicionais: lê o coletor de registos (o filtro de registos e o destino de registos) de um contentor para determinar se é um contentor de registos Análises em tempo real: sim, mas apenas se as versões dos objetos forem alteradas, não se forem criados contentores de registos

Monitorizar as descobertas de vulnerabilidades

As vulnerabilidades deste tipo de detetor estão todas relacionadas com as configurações de monitorização e pertencem ao tipo MONITORING_SCANNER. Todas as propriedades das descobertas do detetor de monitorização incluem:

• O RecommendedLogFilter a usar na criação das métricas de registo.
• Os QualifiedLogMetricNames que abrangem as condições indicadas no filtro de registos recomendado.
• OAlertPolicyFailureReasonsque indica se o projeto não tem políticas de alerta criadas para nenhuma das métricas de registo elegíveis ou se as políticas de alerta existentes não têm as definições recomendadas.

Detetor	Resumo	Definições de análise de recursos
Audit config not monitored Nome da categoria na API: AUDIT_CONFIG_NOT_MONITORED	Descrição da descoberta: As métricas e os alertas de registos não estão configurados para monitorizar as alterações à configuração de auditoria. Para ativações ao nível do projeto do nível Premium do Security Command Center, esta descoberta só está disponível se o nível Standard (antigo) estiver ativado na organização principal. Nível de preços: Premium Recursos compatíveis cloudresourcemanager.googleapis.com/Project Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 2.5 CIS GCP Foundation 1.1: 2.5 CIS GCP Foundation 1.2: 2.5 CIS GCP Foundation 1.3: 2.5 CIS GCP Foundation 2.0: 2.5 CIS GCP Foundation 3.0: 2.5 NIST 800-53 R5: AU-12, AU-2, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2 ISO-27001 v2022: A.8.15, A.8.20 Cloud Controls Matrix 4: LOG-08 NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1 HIPAA: 164.312(b) CIS Controls 8.0: 8.2, 8.5	Verifica se a propriedade filter do recurso LogsMetric do projeto está definida como protoPayload.methodName="SetIamPolicy" AND protoPayload.serviceData.policyDelta.auditConfigDeltas:*, e se resource.type for especificado, que o valor é global. O detetor também pesquisa um recurso alertPolicy correspondente, verificando se as propriedades conditions e notificationChannels estão configuradas corretamente. Autorizações de IAM adicionais: roles/monitoring.alertPolicyViewer Entradas adicionais: lê as métricas de registo do projeto a partir do armazenamento. Lê as informações da conta do Google Cloud Observability do Google Cloud Observability, apresentando descobertas apenas para projetos com contas ativas Análises em tempo real: não
Bucket IAM not monitored Nome da categoria na API: BUCKET_IAM_NOT_MONITORED	Descrição da descoberta: As métricas e os alertas de registo não estão configurados para monitorizar as alterações de autorizações de IAM do Cloud Storage. Para ativações ao nível do projeto do nível Premium do Security Command Center, esta descoberta só está disponível se o nível Standard (antigo) estiver ativado na organização principal. Nível de preços: Premium Recursos compatíveis cloudresourcemanager.googleapis.com/Project Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 2.10 CIS GCP Foundation 1.1: 2.10 CIS GCP Foundation 1.2: 2.10 CIS GCP Foundation 1.3: 2.10 CIS GCP Foundation 2.0: 2.10 NIST 800-53 R5: AU-12, AU-2, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2 ISO-27001 v2022: A.8.15, A.8.20 Cloud Controls Matrix 4: LOG-08 NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1 HIPAA: 164.312(b) CIS Controls 8.0: 8.2, 8.5	Verifica se a propriedade filter do recurso LogsMetric do projeto está definida como resource.type=gcs_bucket AND protoPayload.methodName="storage.setIamPermissions". O detetor também pesquisa um recurso alertPolicy correspondente, verificando se as propriedades conditions e notificationChannels estão configuradas corretamente. Autorizações de IAM adicionais: roles/monitoring.alertPolicyViewer Entradas adicionais: lê as métricas de registo do projeto a partir do armazenamento. Lê as informações da conta do Google Cloud Observability do Google Cloud Observability, apresentando descobertas apenas para projetos com contas ativas Análises em tempo real: não
Custom role not monitored Nome da categoria na API: CUSTOM_ROLE_NOT_MONITORED	Descrição da descoberta: As métricas e os alertas de registos não estão configurados para monitorizar as alterações às funções personalizadas. Para ativações ao nível do projeto do nível Premium do Security Command Center, esta descoberta só está disponível se o nível Standard (antigo) estiver ativado na organização principal. Nível de preços: Premium Recursos compatíveis cloudresourcemanager.googleapis.com/Project Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 2.6 CIS GCP Foundation 1.1: 2.6 CIS GCP Foundation 1.2: 2.6 CIS GCP Foundation 1.3: 2.6 CIS GCP Foundation 2.0: 2.6 CIS GCP Foundation 3.0: 2.6 NIST 800-53 R5: AU-12, AU-2, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2 ISO-27001 v2022: A.8.15, A.8.20 Cloud Controls Matrix 4: LOG-08 NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1 HIPAA: 164.312(b) CIS Controls 8.0: 8.2, 8.5	Verifica se a propriedade filter do recurso LogsMetric do projeto está definida como resource.type="iam_role" AND (protoPayload.methodName="google.iam.admin.v1.CreateRole" OR protoPayload.methodName="google.iam.admin.v1.DeleteRole" OR protoPayload.methodName="google.iam.admin.v1.UpdateRole"). O detetor também pesquisa um recurso alertPolicy correspondente, verificando se as propriedades conditions e notificationChannels estão configuradas corretamente. Autorizações de IAM adicionais: roles/monitoring.alertPolicyViewer Entradas adicionais: lê as métricas de registo do projeto a partir do armazenamento. Lê as informações da conta do Google Cloud Observability do Google Cloud Observability, apresentando descobertas apenas para projetos com contas ativas Análises em tempo real: não
Firewall not monitored Nome da categoria na API: FIREWALL_NOT_MONITORED	Descrição da descoberta: As métricas e os alertas de registos não estão configurados para monitorizar as alterações às regras da firewall de rede da nuvem virtual privada (VPC). Para ativações ao nível do projeto do nível Premium do Security Command Center, esta descoberta só está disponível se o nível Standard (antigo) estiver ativado na organização principal. Nível de preços: Premium Recursos compatíveis cloudresourcemanager.googleapis.com/Project Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 2.7 CIS GCP Foundation 1.1: 2.7 CIS GCP Foundation 1.2: 2.7 CIS GCP Foundation 1.3: 2.7 CIS GCP Foundation 2.0: 2.7 CIS GCP Foundation 3.0: 2.7 NIST 800-53 R5: AU-12, AU-2, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2 ISO-27001 v2022: A.8.15, A.8.20 Cloud Controls Matrix 4: LOG-08 NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1 HIPAA: 164.312(b) CIS Controls 8.0: 8.2, 8.5	Verifica se a propriedade filter do recurso LogsMetric do projeto está definida como resource.type="gce_firewall_rule" AND (protoPayload.methodName:"compute.firewalls.insert" OR protoPayload.methodName:"compute.firewalls.patch" OR protoPayload.methodName:"compute.firewalls.delete"). O detetor também pesquisa um recurso alertPolicy correspondente, verificando se as propriedades conditions e notificationChannels estão configuradas corretamente. Autorizações de IAM adicionais: roles/monitoring.alertPolicyViewer Entradas adicionais: lê as métricas de registo do projeto a partir do armazenamento. Lê as informações da conta do Google Cloud Observability do Google Cloud Observability, apresentando descobertas apenas para projetos com contas ativas Análises em tempo real: não
Network not monitored Nome da categoria na API: NETWORK_NOT_MONITORED	Descrição da descoberta: As métricas e os alertas de registos não estão configurados para monitorizar as alterações à rede VPC. Para ativações ao nível do projeto do nível Premium do Security Command Center, esta descoberta só está disponível se o nível Standard (antigo) estiver ativado na organização principal. Nível de preços: Premium Recursos compatíveis cloudresourcemanager.googleapis.com/Project Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 2.9 CIS GCP Foundation 1.1: 2.9 CIS GCP Foundation 1.2: 2.9 CIS GCP Foundation 1.3: 2.9 CIS GCP Foundation 2.0: 2.9 CIS GCP Foundation 3.0: 2.9 NIST 800-53 R5: AU-12, AU-2, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2 ISO-27001 v2022: A.8.15, A.8.20 Cloud Controls Matrix 4: LOG-08 NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1 HIPAA: 164.312(b) CIS Controls 8.0: 8.2, 8.5	Verifica se a propriedade filter do recurso LogsMetric do projeto está definida como resource.type="gce_network" AND (protoPayload.methodName:"compute.networks.insert" OR protoPayload.methodName:"compute.networks.patch" OR protoPayload.methodName:"compute.networks.delete" OR protoPayload.methodName:"compute.networks.removePeering" OR protoPayload.methodName:"compute.networks.addPeering"). O detetor também pesquisa um recurso alertPolicy correspondente, verificando se as propriedades conditions e notificationChannels estão configuradas corretamente. Autorizações de IAM adicionais: roles/monitoring.alertPolicyViewer Entradas adicionais: lê as métricas de registo do projeto a partir do armazenamento. Lê as informações da conta do Google Cloud Observability do Google Cloud Observability, apresentando descobertas apenas para projetos com contas ativas Análises em tempo real: não
Owner not monitored Nome da categoria na API: OWNER_NOT_MONITORED	Descrição da descoberta: As métricas e os alertas de registos não estão configurados para monitorizar as atribuições ou as alterações de propriedade do projeto. Para ativações ao nível do projeto do nível Premium do Security Command Center, esta descoberta só está disponível se o nível Standard (antigo) estiver ativado na organização principal. Nível de preços: Premium Recursos compatíveis cloudresourcemanager.googleapis.com/Project Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 2.4 CIS GCP Foundation 1.1: 2.4 CIS GCP Foundation 1.2: 2.4 CIS GCP Foundation 1.3: 2.4 CIS GCP Foundation 2.0: 2.4 CIS GCP Foundation 3.0: 2.4 NIST 800-53 R5: AU-12, AU-2, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2 ISO-27001 v2022: A.8.15, A.8.20 Cloud Controls Matrix 4: LOG-08 NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1 HIPAA: 164.312(b) CIS Controls 8.0: 8.2	Verifica se a propriedade filter do recurso LogsMetric do projeto está definida como (protoPayload.serviceName="cloudresourcemanager.googleapis.com") AND ( (ProjectOwnership OR projectOwnerInvitee) OR (protoPayload.serviceData.policyDelta.bindingDeltas.action="REMOVE" AND protoPayload.serviceData.policyDelta.bindingDeltas.role="roles/owner") OR (protoPayload.serviceData.policyDelta.bindingDeltas.action="ADD" AND protoPayload.serviceData.policyDelta.bindingDeltas.role="roles/owner") ) e, se resource.type for especificado, se o valor é global. O detetor também pesquisa um recurso alertPolicy correspondente, verificando se as propriedades conditions e notificationChannels estão configuradas corretamente. Autorizações de IAM adicionais: roles/monitoring.alertPolicyViewer Entradas adicionais: lê as métricas de registo do projeto a partir do armazenamento. Lê as informações da conta do Google Cloud Observability do Google Cloud Observability, apresentando descobertas apenas para projetos com contas ativas Análises em tempo real: não
Route not monitored Nome da categoria na API: ROUTE_NOT_MONITORED	Descrição da descoberta: As métricas e os alertas de registos não estão configurados para monitorizar as alterações de rotas da rede VPC. Para ativações ao nível do projeto do nível Premium do Security Command Center, esta descoberta só está disponível se o nível Standard (antigo) estiver ativado na organização principal. Nível de preços: Premium Recursos compatíveis cloudresourcemanager.googleapis.com/Project Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 2.8 CIS GCP Foundation 1.1: 2.8 CIS GCP Foundation 1.2: 2.8 CIS GCP Foundation 1.3: 2.8 CIS GCP Foundation 2.0: 2.8 CIS GCP Foundation 3.0: 2.8 NIST 800-53 R5: AU-12, AU-2, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2 ISO-27001 v2022: A.8.15, A.8.20 Cloud Controls Matrix 4: LOG-08 NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1 HIPAA: 164.312(b) CIS Controls 8.0: 8.2, 8.5	Verifica se a propriedade filter do recurso LogsMetric do projeto está definida como resource.type="gce_route" AND (protoPayload.methodName:"compute.routes.delete" OR protoPayload.methodName:"compute.routes.insert"). O detetor também pesquisa um recurso alertPolicy correspondente, verificando se as propriedades conditions e notificationChannels estão configuradas corretamente. Autorizações de IAM adicionais: roles/monitoring.alertPolicyViewer Entradas adicionais: lê as métricas de registo do projeto a partir do armazenamento. Lê as informações da conta do Google Cloud Observability do Google Cloud Observability, apresentando descobertas apenas para projetos com contas ativas Análises em tempo real: não
SQL instance not monitored SQL_INSTANCE_NOT_MONITORED	Descrição da descoberta: As métricas e os alertas de registo não estão configurados para monitorizar as alterações de configuração da instância do Cloud SQL. Para ativações ao nível do projeto do nível Premium do Security Command Center, esta descoberta só está disponível se o nível Standard (antigo) estiver ativado na organização principal. Nível de preços: Premium Recursos compatíveis cloudresourcemanager.googleapis.com/Project Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 2.8 CIS GCP Foundation 1.1: 2.8 CIS GCP Foundation 1.2: 2.8 CIS GCP Foundation 1.3: 2.8 CIS GCP Foundation 2.0: 2.8 CIS GCP Foundation 3.0: 2.8 NIST 800-53 R5: AU-12, AU-2, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2 ISO-27001 v2022: A.8.15, A.8.20 Cloud Controls Matrix 4: LOG-08 NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1 HIPAA: 164.312(b) CIS Controls 8.0: 8.2, 8.5	Verifica se a propriedade filter do recurso LogsMetric do projeto está definida como protoPayload.methodName="cloudsql.instances.update" OR protoPayload.methodName="cloudsql.instances.create" OR protoPayload.methodName="cloudsql.instances.delete" e, se resource.type for especificado, se o valor é global. O detetor também pesquisa um recurso alertPolicy correspondente, verificando se as propriedades conditions e notificationChannels estão configuradas corretamente. Autorizações de IAM adicionais: roles/monitoring.alertPolicyViewer Entradas adicionais: lê as métricas de registo do projeto a partir do armazenamento. Lê as informações da conta do Google Cloud Observability do Google Cloud Observability, apresentando descobertas apenas para projetos com contas ativas Análises em tempo real: não

Descobertas da autenticação multifator

O detetor MFA_SCANNER identifica vulnerabilidades relacionadas com a autenticação multifator para os utilizadores.

Detetor	Resumo	Definições de análise de recursos
MFA not enforced Nome da categoria na API: MFA_NOT_ENFORCED	Existem utilizadores que não estão a usar a validação em dois passos. Se tomar medidas para corrigir esta descoberta, as análises do Security Health Analytics podem demorar até 24 horas a ser concluídas e para que a descoberta seja atualizada. O Google Workspace permite-lhe especificar um período de tolerância de inscrição para novos utilizadores, durante o qual têm de se inscrever na validação em dois passos. Este detetor cria descobertas para utilizadores durante o período de tolerância de inscrição. Este detetor pode gerar descobertas para organizações com um grande número de utilizadores (normalmente,450 000 ou mais), mesmo que a validação em dois passos seja aplicada a todos os utilizadores. Se considerar que uma descoberta é um falso positivo, contacte o apoio ao cliente do Cloud para que a descoberta seja desativada. Este detetor chamava-se anteriormente 2SV_NOT_ENFORCED. Esta descoberta não está disponível para ativações ao nível do projeto. Nível de preços: Premium ou Standard Recursos compatíveis cloudresourcemanager.googleapis.com/Organization Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 1.2 CIS GCP Foundation 1.1: 1.2 CIS GCP Foundation 1.2: 1.2 CIS GCP Foundation 1.3: 1.2 CIS GCP Foundation 2.0: 1.2 CIS GCP Foundation 3.0: 1.2 NIST 800-53 R4: IA-2 PCI-DSS v3.2.1: 8.3 ISO-27001 v2013: A.9.4.2 ISO-27001 v2022: A.8.5	Avalia as políticas de gestão de identidade nas organizações e as definições do utilizador para contas geridas no Cloud ID. Recursos excluídos das análises: unidades organizacionais com exceções concedidas à política Entradas adicionais: lê dados do Google Workspace Análises em tempo real: não

Descobertas de vulnerabilidades de rede

As vulnerabilidades deste tipo de detetor estão todas relacionadas com as configurações de rede de uma organização e pertencem ao tipo NETWORK_SCANNER.

Detetor	Resumo	Definições de análise de recursos
Default network Nome da categoria na API: DEFAULT_NETWORK	Descrição da descoberta: A rede predefinida existe num projeto. Para ativações ao nível do projeto do nível Premium do Security Command Center, esta descoberta só está disponível se o nível Standard (antigo) estiver ativado na organização principal. Nível de preços: Premium Recursos compatíveis compute.googleapis.com/Network Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 3.1 CIS GCP Foundation 1.1: 3.1 CIS GCP Foundation 1.2: 3.1 CIS GCP Foundation 1.3: 3.1 CIS GCP Foundation 2.0: 3.1 CIS GCP Foundation 3.0: 3.1 NIST 800-53 R5: AC-18, CM-2, CM-6, CM-7, CM-9 PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.4.2, 1.5.1, 2.1.1, 2.2.1 ISO-27001 v2022: A.8.9 Cloud Controls Matrix 4: IVS-04 NIST Cybersecurity Framework 1.0: PR-IP-1 SOC2 v2017: CC5.2.2 CIS Controls 8.0: 4.2	Verifica se a propriedade name nos metadados da rede está definida como default Recursos excluídos das análises: projetos em que a API Compute Engine está desativada e os recursos do Compute Engine estão num estado bloqueado Análises em tempo real: sim
DNS logging disabled Nome da categoria na API: DNS_LOGGING_DISABLED	Descrição da descoberta: O registo de DNS numa rede VPC não está ativado. Para ativações ao nível do projeto do nível Premium do Security Command Center, esta descoberta só está disponível se o nível Standard (antigo) estiver ativado na organização principal. Nível de preços: Premium Recursos compatíveis compute.googleapis.com/Network dns.googleapis.com/Policy Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.2: 2.12 CIS GCP Foundation 1.3: 2.12 CIS GCP Foundation 2.0: 2.12 CIS GCP Foundation 3.0: 2.12 NIST 800-53 R5: AU-6, AU-7 PCI-DSS v4.0: 10.4.1, 10.4.1.1, 10.4.2, 10.4.3 ISO-27001 v2022: A.5.25 Cloud Controls Matrix 4: LOG-05 NIST Cybersecurity Framework 1.0: DE-AE-2, PR-PT-1, RS-AN-1 SOC2 v2017: CC4.1.1, CC4.1.2, CC4.1.3, CC4.1.4, CC4.1.5, CC4.1.6, CC4.1.7, CC4.1.8, CC7.3.1, CC7.3.2, CC7.3.3, CC7.3.4, CC7.3.5 HIPAA: 164.308(a)(1)(ii), 164.312(b) CIS Controls 8.0: 8.11, 8.2, 8.6	Verifica todos os policies que estão associados a uma rede VPC através do campo networks[].networkUrl e procura, pelo menos, uma política que tenha enableLogging definido como true. Recursos excluídos das análises: projetos em que a API Compute Engine está desativada e os recursos do Compute Engine estão num estado bloqueado Análises em tempo real: sim
Legacy network Nome da categoria na API: LEGACY_NETWORK	Descrição da descoberta: Existe uma rede antiga num projeto. Para ativações ao nível do projeto do nível Premium do Security Command Center, esta descoberta só está disponível se o nível Standard (antigo) estiver ativado na organização principal. Nível de preços: Premium Recursos compatíveis compute.googleapis.com/Network Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 3.2 CIS GCP Foundation 1.1: 3.2 CIS GCP Foundation 1.2: 3.2 CIS GCP Foundation 1.3: 3.2 CIS GCP Foundation 2.0: 3.2 CIS GCP Foundation 3.0: 3.2 NIST 800-53 R5: AC-18, CM-2, CM-6, CM-7, CM-9 PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.4.2, 1.5.1, 2.1.1, 2.2.1 ISO-27001 v2022: A.8.9 Cloud Controls Matrix 4: IVS-04 NIST Cybersecurity Framework 1.0: PR-IP-1 SOC2 v2017: CC5.2.2 CIS Controls 8.0: 4.2	Verifica se os metadados da rede contêm a propriedade IPv4Range. Recursos excluídos das análises: projetos em que a API Compute Engine está desativada e os recursos do Compute Engine estão num estado bloqueado Análises em tempo real: sim
Load balancer logging disabled Nome da categoria na API: LOAD_BALANCER_LOGGING_DISABLED	Descrição da descoberta: O registo está desativado para o balanceador de carga. Nível de preços: Premium Recursos compatíveis compute.googleapis.com/BackendServices Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 2.0: 2.16 CIS GCP Foundation 3.0: 2.16 NIST 800-53 R5: AU-12, AU-2, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2 ISO-27001 v2022: A.8.15, A.8.20 Cloud Controls Matrix 4: LOG-08 NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1 HIPAA: 164.312(b) CIS Controls 8.0: 8.2	Verifica se a propriedade enableLogging do serviço de back-end no balanceador de carga está definida como true. Análises em tempo real: sim

Descobertas de vulnerabilidades da Política da Organização

As vulnerabilidades deste tipo de detetor estão todas relacionadas com configurações de restrições da Política da Organização e pertencem ao tipo ORG_POLICY.

Detetor	Resumo	Definições de análise de recursos
Org policy Confidential VM policy Nome da categoria na API: ORG_POLICY_CONFIDENTIAL_VM_POLICY	Descrição da descoberta: Um recurso do Compute Engine não está em conformidade com a constraints/compute.restrictNonConfidentialComputing política da organização. Para mais informações sobre esta restrição da política da organização, consulte o artigo Aplicar restrições da política da organização em VMs confidenciais. Para ativações ao nível do projeto do nível Premium do Security Command Center, esta descoberta só está disponível se o nível Standard (antigo) estiver ativado na organização principal. Nível de preços: Premium Recursos compatíveis compute.googleapis.com/Instance Corrija esta descoberta Esta categoria de descoberta não está mapeada para nenhum padrão de conformidade.	Verifica se a propriedade enableConfidentialCompute de uma instância do Compute Engine está definida como true. Recursos excluídos das análises: instâncias do GKE Autorizações de IAM adicionais: permissions/orgpolicy.policy.get Entradas adicionais: lê a política da organização em vigor do serviço de políticas da organização Análises em tempo real: não
Org policy location restriction Nome da categoria na API: ORG_POLICY_LOCATION_RESTRICTION	Descrição da deteção: Um recurso do Compute Engine não está em conformidade com a restrição constraints/gcp.resourceLocations. Para mais informações sobre esta restrição da política da organização, consulte o artigo Aplicar restrições da política da organização. Para ativações ao nível do projeto do nível Premium do Security Command Center, esta descoberta só está disponível se o nível Standard (antigo) estiver ativado na organização principal. Nível de preços: Premium Recursos compatíveis Na linha seguinte, consulte Recursos compatíveis com ORG_POLICY_LOCATION_RESTRICTION Corrija esta descoberta Esta categoria de descoberta não está mapeada para nenhum padrão de conformidade.	Verifica a propriedade listPolicy nos metadados dos recursos compatíveis para ver uma lista de localizações permitidas ou recusadas. Autorizações de IAM adicionais: permissions/orgpolicy.policy.get Entradas adicionais: lê a política da organização em vigor do serviço de políticas da organização Análises em tempo real: não
Recursos compatíveis com ORG_POLICY_LOCATION_RESTRICTION Compute Engine compute.googleapis.com/Autoscaler compute.googleapis.com/Address compute.googleapis.com/Commitment compute.googleapis.com/Disk compute.googleapis.com/ForwardingRule compute.googleapis.com/HealthCheck compute.googleapis.com/Image compute.googleapis.com/Instance compute.googleapis.com/InstanceGroup compute.googleapis.com/InstanceGroupManager compute.googleapis.com/InterconnectAttachment compute.googleapis.com/NetworkEndpointGroup compute.googleapis.com/NodeGroup compute.googleapis.com/NodeTemplate compute.googleapis.com/PacketMirroring compute.googleapis.com/RegionBackendService compute.googleapis.com/RegionDisk compute.googleapis.com/ResourcePolicy compute.googleapis.com/Reservation compute.googleapis.com/Router compute.googleapis.com/Snapshot compute.googleapis.com/SslCertificate compute.googleapis.com/Subnetwork compute.googleapis.com/TargetHttpProxy compute.google.apis.com/TargetHttpsProxy compute.googleapis.com/TargetInstance compute.googleapis.com/TargetPool compute.googleapis.com/TargetVpnGateway compute.googleapis.com/UrlMap compute.googleapis.com/VpnGateway compute.googleapis.com/VpnTunnel GKE container.googleapis.com/Cluster container.googleapis.com/NodePool Cloud Storage storage.googleapis.com/Bucket Cloud KMS cloudkms.googleapis.com/CryptoKey^1 cloudkms.googleapis.com/CryptoKeyVersion^1 cloudkms.googleapis.com/ImportJob^2 cloudkms.googleapis.com/KeyRing^1 Serviço gerido para Apache Spark dataproc.googleapis.com/Cluster BigQuery bigquery.googleapis.com/Dataset Dataflow dataflow.googleapis.com/Job^3 Cloud SQL sqladmin.googleapis.com/Instance Managed Airflow composer.googleapis.com/Environment Registo logging.googleapis.com/LogBucket Pub/Sub pubsub.googleapis.com/Topic Plataforma de agentes aiplatform.googleapis.com/BatchPredictionJob aiplatform.googleapis.com/CustomJob aiplatform.googleapis.com/Dataset aiplatform.googleapis.com/Endpoint aiplatform.googleapis.com/HyperparameterTuningJob aiplatform.googleapis.com/Model aiplatform.googleapis.com/SpecialistPool aiplatform.googleapis.com/TrainingPipeline Artifact Registry artifactregistry.googleapis.com/Repository ^1 Uma vez que não é possível eliminar recursos do Cloud KMS, o recurso não é considerado fora da região se os dados do recurso tiverem sido destruídos. ^2 Uma vez que as tarefas de importação do Cloud KMS têm um ciclo de vida controlado e não podem ser terminadas antecipadamente, uma ImportJob não é considerada fora da região se a tarefa tiver expirado e já não puder ser usada para importar chaves. ^3 Uma vez que o ciclo de vida das tarefas do Dataflow não pode ser gerido, uma tarefa não é considerada fora da região quando atinge um estado terminal (parada ou esvaziada), no qual já não pode ser usada para processar dados.

Resultados de vulnerabilidades do Pub/Sub

As vulnerabilidades deste tipo de detetor estão todas relacionadas com as configurações do Pub/Sub e pertencem ao tipo PUBSUB_SCANNER.

Detetor	Resumo	Definições de análise de recursos
Pubsub CMEK disabled Nome da categoria na API: PUBSUB_CMEK_DISABLED	Descrição da descoberta: Um tópico do Pub/Sub não está encriptado com chaves de encriptação geridas pelo cliente (CMEK). Este detetor requer uma configuração adicional para ser ativado. Para ver instruções, consulte o artigo Ative e desative detetores. Nível de preços: Premium Recursos compatíveis pubsub.googleapis.com/Topic Corrija esta descoberta Esta categoria de descoberta não está mapeada para nenhum padrão de conformidade.	Verifica o campo kmsKeyName para o nome do recurso da sua CMEK. Análises em tempo real: sim

Descobertas de vulnerabilidades de SQL

As secções seguintes descrevem as descobertas de vulnerabilidades do AlloyDB para PostgreSQL e do Cloud SQL.

Descobertas de vulnerabilidades do AlloyDB para PostgreSQL

As vulnerabilidades deste tipo de detetor estão todas relacionadas com as configurações do AlloyDB para PostgreSQL e pertencem ao tipo SQL_SCANNER.

Detetor	Resumo	Definições de análise de recursos
AlloyDB auto backup disabled Nome da categoria na API: ALLOYDB_AUTO_BACKUP_DISABLED	Descrição da descoberta: Um cluster do AlloyDB para PostgreSQL não tem as cópias de segurança automáticas ativadas. Nível de preços: Premium Recursos compatíveis alloydb.googleapis.com/Cluster Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R4: CP-9 NIST 800-53 R5: CP-10, CP-9 ISO-27001 v2013: A.12.3.1 ISO-27001 v2022: A.8.13 NIST Cybersecurity Framework 1.0: PR-IP-4 HIPAA: 164.308(a)(7)(ii)	Verifica se a propriedade automated_backup_policy.enabled nos metadados de um cluster do AlloyDB para PostgreSQL está definida como true. Recursos excluídos das análises: clusters secundários do AlloyDB para PostgreSQL Análises em tempo real: sim
AlloyDB backups disabled Nome da categoria na API: ALLOYDB_BACKUPS_DISABLED	Descrição da descoberta: Um cluster do AlloyDB para PostgreSQL não tem as cópias de segurança ativadas. Nível de preços: Premium Recursos compatíveis alloydb.googleapis.com/Cluster Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R4: CP-9 NIST 800-53 R5: CP-10, CP-9 ISO-27001 v2013: A.12.3.1 ISO-27001 v2022: A.8.13 NIST Cybersecurity Framework 1.0: PR-IP-4 HIPAA: 164.308(a)(7)(ii)	Verifica se as propriedades automated_backup_policy.enabled ou continuous_backup_policy.enabled nos metadados de um cluster do AlloyDB para PostgreSQL estão definidas como true. Recursos excluídos das análises: clusters secundários do AlloyDB para PostgreSQL Análises em tempo real: sim
AlloyDB CMEK disabled Nome da categoria na API: ALLOYDB_CMEK_DISABLED	Descrição da descoberta: um cluster do AlloyDB não está encriptado com chaves de encriptação geridas pelo cliente (CMEK). Nível de preços: Premium Recursos compatíveis alloydb.googleapis.com/Cluster Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: IA-5, SC-28 PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2 ISO-27001 v2022: A.5.33 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-1 SOC2 v2017: CC6.1.10, CC6.1.3 HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii) CIS Controls 8.0: 3.11	Verifica o campo encryption_type nos metadados do cluster para determinar se a CMEK está ativada. Análises em tempo real: sim
AlloyDB log min error statement severity Nome da categoria na API: ALLOYDB_LOG_MIN_ERROR_STATEMENT_SEVERITY	Descrição da descoberta: A sinalização da base de dados log_min_error_statement para uma instância do AlloyDB para PostgreSQL não está definida como error nem como outro valor recomendado. Nível de preços: Premium Recursos compatíveis alloydb.googleapis.com/Instances Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: AU-12, AU-3, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5 ISO-27001 v2022: A.5.28, A.8.15 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1 SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3	Para garantir uma cobertura adequada dos tipos de mensagens nos registos, gera uma descoberta se o campo log_min_error_statement da propriedade databaseFlags não estiver definido como um dos seguintes valores: debug5, debug4, debug3, debug2, debug1, info, notice, warning ou o valor predefinido error. Análises em tempo real: sim
AlloyDB log min messages Nome da categoria na API: ALLOYDB_LOG_MIN_MESSAGES	Descrição da descoberta: A sinalização da base de dados log_min_messages para uma instância do AlloyDB para PostgreSQL não está definida como warning nem como outro valor recomendado. Nível de preços: Premium Recursos compatíveis alloydb.googleapis.com/Instances Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: AU-12, AU-3, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5 ISO-27001 v2022: A.5.28, A.8.15 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1 SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3	Para garantir uma cobertura adequada dos tipos de mensagens nos registos, gera uma descoberta se o campo log_min_messages da propriedade databaseFlags não estiver definido como um dos seguintes valores: debug5, debug4, debug3, debug2, debug1, info, notice ou o valor predefinido warning. Análises em tempo real: sim
AlloyDB log error verbosity Nome da categoria na API: ALLOYDB_LOG_ERROR_VERBOSITY	Descrição da descoberta: A sinalização da base de dados log_error_verbosity para uma instância do AlloyDB para PostgreSQL não está definida como default nem como outro valor recomendado. Nível de preços: Premium Recursos compatíveis alloydb.googleapis.com/Instances Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: AU-12, AU-3, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5 ISO-27001 v2022: A.5.28, A.8.15 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1 SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3	Para garantir uma cobertura adequada dos tipos de mensagens nos registos, gera uma descoberta se o campo log_error_verbosity da propriedade databaseFlags não estiver definido como um dos seguintes valores: verbose ou o valor predefinido default. Análises em tempo real: sim
AlloyDB public IP Nome da categoria na API: ALLOYDB_PUBLIC_IP	Descrição da descoberta: Uma instância da base de dados do AlloyDB para PostgreSQL tem um endereço IP público. Nível de preços: Premium Recursos compatíveis alloydb.googleapis.com/Instances Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: AC-3, AC-5, AC-6, MA-4, MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.2, CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3, 4.6	Verifica se o campo enablePublicIp da propriedade instanceNetworkConfig está configurado para permitir endereços IP públicos. Análises em tempo real: sim
AlloyDB SSL not enforced Nome da categoria na API: ALLOYDB_SSL_NOT_ENFORCED	Descrição da descoberta: uma instância da base de dados do AlloyDB para PostgreSQL não requer que todas as ligações recebidas usem SSL. Nível de preços: Premium Recursos compatíveis alloydb.googleapis.com/Instances Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 4.1 ISO-27001 v2013: A.13.2.1, A.14.1.3, A.8.2.3	Verifica se a propriedade sslMode da instância do AlloyDB para PostgreSQL está definida como ENCRYPTED_ONLY. Análises em tempo real: sim

Descobertas de vulnerabilidades do Cloud SQL

As vulnerabilidades deste tipo de detetor estão todas relacionadas com as configurações do Cloud SQL e pertencem ao tipo SQL_SCANNER.

Detetor	Resumo	Definições de análise de recursos
Auto backup disabled Nome da categoria na API: AUTO_BACKUP_DISABLED	Descrição da deteção: Uma base de dados do Cloud SQL não tem as cópias de segurança automáticas ativadas. Nível de preços: Premium Recursos compatíveis sqladmin.googleapis.com/Instance Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.1: 6.7 CIS GCP Foundation 1.2: 6.7 CIS GCP Foundation 1.3: 6.7 CIS GCP Foundation 2.0: 6.7 CIS GCP Foundation 3.0: 6.7 NIST 800-53 R4: CP-9 NIST 800-53 R5: CP-10, CP-9 ISO-27001 v2013: A.12.3.1 ISO-27001 v2022: A.8.13 NIST Cybersecurity Framework 1.0: PR-IP-4 HIPAA: 164.308(a)(7)(ii) CIS Controls 8.0: 11.2	Verifica se a propriedade backupConfiguration.enabled de um dado do Cloud SQL está definida como true. Recursos excluídos das análises: réplicas do Cloud SQL Entradas adicionais: lê as políticas de autorização de IAM para os antepassados do armazenamento de recursos do Security Health Analytics Análises em tempo real: sim
Public SQL instance Nome da categoria na API: PUBLIC_SQL_INSTANCE	Descrição da descoberta: Uma instância de base de dados do Cloud SQL aceita ligações de todos os endereços IP. Nível de preços: Premium ou Standard Recursos compatíveis sqladmin.googleapis.com/Instance Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 6.2 CIS GCP Foundation 1.1: 6.5 CIS GCP Foundation 1.2: 6.5 CIS GCP Foundation 1.3: 6.5 CIS GCP Foundation 2.0: 6.5 CIS GCP Foundation 3.0: 6.5 NIST 800-53 R4: CA-3, SC-7 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v3.2.1: 1.2.1 PCI-DSS v4.0: 1.3.1 ISO-27001 v2013: A.13.1.3, A.14.1.3, A.8.2.3 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	Verifica se a propriedade authorizedNetworks das instâncias do Cloud SQL está definida como um único endereço IP ou um intervalo de endereços IP. Análises em tempo real: sim
SSL not enforced Nome da categoria na API: SSL_NOT_ENFORCED	Descrição da descoberta: Uma instância da base de dados do Cloud SQL não requer que todas as ligações recebidas usem SSL. Nível de preços: Premium ou Standard Recursos compatíveis sqladmin.googleapis.com/Instance Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 2.0: 6.4 NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 4.1 ISO-27001 v2013: A.13.2.1, A.14.1.3, A.8.2.3	Verifica se a propriedade sslMode da instância do Cloud SQL está definida para um modo SSL aprovado, ENCRYPTED_ONLY ou TRUSTED_CLIENT_CERTIFICATE_REQUIRED. Análises em tempo real: sim
SQL CMEK disabled Nome da categoria na API: SQL_CMEK_DISABLED	Descrição da descoberta: uma instância da base de dados SQL não está encriptada com chaves de encriptação geridas pelo cliente (CMEK). Este detetor requer uma configuração adicional para ser ativado. Para ver instruções, consulte o artigo Ative e desative detetores. Nível de preços: Premium Recursos compatíveis sqladmin.googleapis.com/Instance Corrija esta descoberta Esta categoria de descoberta não está mapeada para nenhum padrão de conformidade.	Verifica o campo kmsKeyName no objeto diskEncryptionKey, nos metadados da instância, para o nome do recurso da sua CMEK. Análises em tempo real: sim
SQL contained database authentication Nome da categoria na API: SQL_CONTAINED_DATABASE_AUTHENTICATION	Descrição da deteção: A sinalização da base de dados contained database authentication para uma instância do Cloud SQL para SQL Server não está definida como off. Nível de preços: Premium Recursos compatíveis sqladmin.googleapis.com/Instance Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.1: 6.3.2 CIS GCP Foundation 1.2: 6.3.7 CIS GCP Foundation 1.3: 6.3.7 CIS GCP Foundation 2.0: 6.3.7 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	Verifica a propriedade databaseFlags dos metadados da instância para o par de chave-valor, "name": "contained database authentication", "value": "on" ou se está ativado por predefinição. Análises em tempo real: sim
SQL cross DB ownership chaining Nome da categoria na API: SQL_CROSS_DB_OWNERSHIP_CHAINING	Descrição da deteção: O sinalizador da base de dados cross_db_ownership_chaining para uma instância do Cloud SQL para SQL Server não está definido como off. Nível de preços: Premium Recursos compatíveis sqladmin.googleapis.com/Instance Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.1: 6.3.1 CIS GCP Foundation 1.2: 6.3.2 CIS GCP Foundation 1.3: 6.3.2 CIS GCP Foundation 2.0: 6.3.2 CIS GCP Foundation 3.0: 6.3.2 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	Verifica a propriedade databaseFlags dos metadados da instância para o par de chave-valor "name": "cross_db_ownership_chaining", "value": "on". Análises em tempo real: sim
SQL external scripts enabled Nome da categoria na API: SQL_EXTERNAL_SCRIPTS_ENABLED	Descrição da deteção: O sinalizador da base de dados external scripts enabled para uma instância do Cloud SQL para SQL Server não está definido como off. Nível de preços: Premium Recursos compatíveis sqladmin.googleapis.com/Instance Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.2: 6.3.1 CIS GCP Foundation 1.3: 6.3.1 CIS GCP Foundation 2.0: 6.3.1 CIS GCP Foundation 3.0: 6.3.1 NIST 800-53 R5: CM-7, SI-7 PCI-DSS v4.0: 1.2.5, 2.2.4, 6.4.3 NIST Cybersecurity Framework 1.0: PR-IP-1, PR-PT-3 SOC2 v2017: CC5.2.1, CC5.2.2, CC5.2.3, CC5.2.4 CIS Controls 8.0: 2.7	Verifica a propriedade databaseFlags dos metadados da instância para o par de chave-valor "name": "external scripts enabled", "value": "off". Análises em tempo real: sim
SQL local infile Nome da categoria na API: SQL_LOCAL_INFILE	Descrição da deteção: O sinalizador da base de dados local_infile para uma instância do Cloud SQL para MySQL está ativado. Nível de preços: Premium Recursos compatíveis sqladmin.googleapis.com/Instance Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.1: 6.1.2 CIS GCP Foundation 1.2: 6.1.3 CIS GCP Foundation 1.3: 6.1.3 CIS GCP Foundation 2.0: 6.1.3 CIS GCP Foundation 3.0: 6.1.3 NIST 800-53 R5: CM-6, CM-7 PCI-DSS v4.0: 2.2.1 ISO-27001 v2022: A.8.8 NIST Cybersecurity Framework 1.0: PR-IP-1 CIS Controls 8.0: 16.7	Verifica a propriedade databaseFlags dos metadados da instância para o par de chave-valor "name": "local_infile", "value": "on". Análises em tempo real: sim
SQL log checkpoints disabled Nome da categoria na API: SQL_LOG_CHECKPOINTS_DISABLED	Descrição da descoberta: A sinalização da base de dados log_checkpoints para uma instância do Cloud SQL para PostgreSQL não está definida como on. Nível de preços: Premium Recursos compatíveis sqladmin.googleapis.com/Instance Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.1: 6.2.1 CIS GCP Foundation 1.2: 6.2.1	Verifica a propriedade databaseFlags dos metadados da instância para o par de chave-valor "name": "log_checkpoints", "value": "on". Análises em tempo real: sim
SQL log connections disabled Nome da categoria na API: SQL_LOG_CONNECTIONS_DISABLED	Descrição da descoberta: A sinalização da base de dados log_connections para uma instância do Cloud SQL para PostgreSQL não está definida como on. Nível de preços: Premium Recursos compatíveis sqladmin.googleapis.com/Instance Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.1: 6.2.2 CIS GCP Foundation 1.2: 6.2.3 CIS GCP Foundation 1.3: 6.2.2 CIS GCP Foundation 2.0: 6.2.2 CIS GCP Foundation 3.0: 6.2.2 NIST 800-53 R5: AU-12, AU-3, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5 ISO-27001 v2022: A.5.28, A.8.15 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1 SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3 CIS Controls 8.0: 8.5	Verifica a propriedade databaseFlags dos metadados da instância para o par de chave-valor "name": "log_connections", "value": "on". Análises em tempo real: sim
SQL log disconnections disabled Nome da categoria na API: SQL_LOG_DISCONNECTIONS_DISABLED	Descrição da deteção: A sinalização da base de dados log_disconnections para uma instância do Cloud SQL para PostgreSQL não está definida como on. Nível de preços: Premium Recursos compatíveis sqladmin.googleapis.com/Instance Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.1: 6.2.3 CIS GCP Foundation 1.2: 6.2.4 CIS GCP Foundation 1.3: 6.2.3 CIS GCP Foundation 2.0: 6.2.3 CIS GCP Foundation 3.0: 6.2.3 NIST 800-53 R5: AU-12, AU-3, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5 ISO-27001 v2022: A.5.28, A.8.15 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1 SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3 CIS Controls 8.0: 8.5	Verifica a propriedade databaseFlags dos metadados da instância para o par de chave-valor "name": "log_disconnections", "value": "on". Análises em tempo real: sim
SQL log duration disabled Nome da categoria na API: SQL_LOG_DURATION_DISABLED	Descrição da deteção: A sinalização da base de dados log_duration para uma instância do Cloud SQL para PostgreSQL não está definida como on. Nível de preços: Premium Recursos compatíveis sqladmin.googleapis.com/Instance Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.2: 6.2.5	Verifica a propriedade databaseFlags dos metadados da instância para o par de chave-valor "name": "log_duration", "value": "on". Análises em tempo real: sim
SQL log error verbosity Nome da categoria na API: SQL_LOG_ERROR_VERBOSITY	Descrição da descoberta: A sinalização da base de dados log_error_verbosity para uma instância do Cloud SQL para PostgreSQL não está definida como default ou verbose. Nível de preços: Premium Recursos compatíveis sqladmin.googleapis.com/Instance Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.2: 6.2.2 CIS GCP Foundation 1.3: 6.2.1 CIS GCP Foundation 2.0: 6.2.1 CIS GCP Foundation 3.0: 6.2.1 NIST 800-53 R5: AU-12, AU-3, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5 ISO-27001 v2022: A.5.28, A.8.15 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1 SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3 CIS Controls 8.0: 8.5	Verifica se a propriedade databaseFlags dos metadados da instância para o campo log_error_verbosity está definida como default ou verbose. Análises em tempo real: sim
SQL log lock waits disabled Nome da categoria na API: SQL_LOG_LOCK_WAITS_DISABLED	Descrição da descoberta: A sinalização da base de dados log_lock_waits para uma instância do Cloud SQL para PostgreSQL não está definida como on. Nível de preços: Premium Recursos compatíveis sqladmin.googleapis.com/Instance Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.1: 6.2.4 CIS GCP Foundation 1.2: 6.2.6	Verifica a propriedade databaseFlags dos metadados da instância para o par de chave-valor "name": "log_lock_waits", "value": "on". Análises em tempo real: sim
SQL log min duration statement enabled Nome da categoria na API: SQL_LOG_MIN_DURATION_STATEMENT_ENABLED	Descrição da descoberta: O sinalizador da base de dados log_min_duration_statement para uma instância do Cloud SQL para PostgreSQL não está definido como "-1". Nível de preços: Premium Recursos compatíveis sqladmin.googleapis.com/Instance Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.1: 6.2.7 CIS GCP Foundation 1.2: 6.2.16 CIS GCP Foundation 1.3: 6.2.8 CIS GCP Foundation 2.0: 6.2.7 NIST 800-53 R5: AU-12, AU-3, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5 ISO-27001 v2022: A.5.28, A.8.15 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1 SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3 CIS Controls 8.0: 8.5	Verifica a propriedade databaseFlags dos metadados da instância para o par de chave-valor "name": "log_min_duration_statement", "value": "-1". Análises em tempo real: sim
SQL log min error statement Nome da categoria na API: SQL_LOG_MIN_ERROR_STATEMENT	Descrição da descoberta: O sinalizador da base de dados log_min_error_statement para uma instância do Cloud SQL para PostgreSQL não está definido corretamente. Nível de preços: Premium Recursos compatíveis sqladmin.googleapis.com/Instance Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.1: 6.2.5	Verifica se o campo log_min_error_statement da propriedade databaseFlags está definido como um dos seguintes valores: debug5, debug4, debug3, debug2, debug1, info, notice, warning ou o valor predefinido error. Análises em tempo real: sim
SQL log min error statement severity Nome da categoria na API: SQL_LOG_MIN_ERROR_STATEMENT_SEVERITY	Descrição da descoberta: O sinalizador da base de dados log_min_error_statement para uma instância do Cloud SQL para PostgreSQL não tem um nível de gravidade adequado. Nível de preços: Premium Recursos compatíveis sqladmin.googleapis.com/Instance Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.2: 6.2.14 CIS GCP Foundation 1.3: 6.2.7 CIS GCP Foundation 2.0: 6.2.6 CIS GCP Foundation 3.0: 6.2.6 NIST 800-53 R5: AU-12, AU-3, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5 ISO-27001 v2022: A.5.28, A.8.15 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1 SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3 CIS Controls 8.0: 8.5	Verifica se o campo log_min_error_statement da propriedade databaseFlags está definido como um dos seguintes valores: error, log, fatal ou panic. Análises em tempo real: sim
SQL log min messages Nome da categoria na API: SQL_LOG_MIN_MESSAGES	Descrição da descoberta: O sinalizador da base de dados log_min_messages para uma instância do Cloud SQL para PostgreSQL não está definido como warning ou outro valor recomendado. Nível de preços: Premium Recursos compatíveis sqladmin.googleapis.com/Instance Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.2: 6.2.13 CIS GCP Foundation 1.3: 6.2.6 CIS GCP Foundation 2.0: 6.2.5 CIS GCP Foundation 3.0: 6.2.5 NIST 800-53 R5: AU-12, AU-3, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5 ISO-27001 v2022: A.5.28, A.8.15 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1 SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3 CIS Controls 8.0: 8.5	Para garantir uma cobertura adequada dos tipos de mensagens nos registos, gera uma descoberta se o campo log_min_messages da propriedade databaseFlags não estiver definido como um dos seguintes valores: debug5, debug4, debug3, debug2, debug1, info, notice ou o valor predefinido warning. Análises em tempo real: sim
SQL log executor stats enabled Nome da categoria na API: SQL_LOG_EXECUTOR_STATS_ENABLED	Descrição da descoberta: A sinalização da base de dados log_executor_stats para uma instância do Cloud SQL para PostgreSQL não está definida como off. Nível de preços: Premium Recursos compatíveis sqladmin.googleapis.com/Instance Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.2: 6.2.11	Verifica se a propriedade databaseFlags dos metadados da instância para o campo log_executor_stats está definida como on. Análises em tempo real: sim
SQL log hostname enabled Nome da categoria na API: SQL_LOG_HOSTNAME_ENABLED	Descrição da descoberta: A sinalização da base de dados log_hostname para uma instância do Cloud SQL para PostgreSQL não está definida como off. Nível de preços: Premium Recursos compatíveis sqladmin.googleapis.com/Instance Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.2: 6.2.8	Verifica se a propriedade databaseFlags dos metadados da instância para o campo log_hostname está definida como on. Análises em tempo real: sim
SQL log parser stats enabled Nome da categoria na API: SQL_LOG_PARSER_STATS_ENABLED	Descrição da descoberta: A sinalização da base de dados log_parser_stats para uma instância do Cloud SQL para PostgreSQL não está definida como off. Nível de preços: Premium Recursos compatíveis sqladmin.googleapis.com/Instance Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.2: 6.2.9	Verifica se a propriedade databaseFlags dos metadados da instância para o campo log_parser_stats está definida como on. Análises em tempo real: sim
SQL log planner stats enabled Nome da categoria na API: SQL_LOG_PLANNER_STATS_ENABLED	Descrição da descoberta: A sinalização da base de dados log_planner_stats para uma instância do Cloud SQL para PostgreSQL não está definida como off. Nível de preços: Premium Recursos compatíveis sqladmin.googleapis.com/Instance Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.2: 6.2.10	Verifica se a propriedade databaseFlags dos metadados da instância para o campo log_planner_stats está definida como on. Análises em tempo real: sim
SQL log statement Nome da categoria na API: SQL_LOG_STATEMENT	Descrição da deteção: A sinalização da base de dados log_statement para uma instância do Cloud SQL para PostgreSQL não está definida como ddl (todas as instruções de definição de dados). Nível de preços: Premium Recursos compatíveis sqladmin.googleapis.com/Instance Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.2: 6.2.7 CIS GCP Foundation 1.3: 6.2.4 CIS GCP Foundation 2.0: 6.2.4 CIS GCP Foundation 3.0: 6.2.4 NIST 800-53 R5: AU-12, AU-3, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5 ISO-27001 v2022: A.5.28, A.8.15 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1 SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3 CIS Controls 8.0: 8.5	Verifica se a propriedade databaseFlags dos metadados da instância para o campo log_statement está definida como ddl. Análises em tempo real: sim
SQL log statement stats enabled Nome da categoria na API: SQL_LOG_STATEMENT_STATS_ENABLED	Descrição da descoberta: A sinalização da base de dados log_statement_stats para uma instância do Cloud SQL para PostgreSQL não está definida como off. Nível de preços: Premium Recursos compatíveis sqladmin.googleapis.com/Instance Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.2: 6.2.12	Verifica se a propriedade databaseFlags dos metadados da instância para o campo log_statement_stats está definida como on. Análises em tempo real: sim
SQL log temp files Nome da categoria na API: SQL_LOG_TEMP_FILES	Descrição da deteção: A sinalização da base de dados log_temp_files para uma instância do Cloud SQL para PostgreSQL não está definida como "0". Nível de preços: Premium Recursos compatíveis sqladmin.googleapis.com/Instance Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.1: 6.2.6 CIS GCP Foundation 1.2: 6.2.15	Verifica a propriedade databaseFlags dos metadados da instância para o par de chave-valor "name": "log_temp_files", "value": "0". Análises em tempo real: sim
SQL no root password Nome da categoria na API: SQL_NO_ROOT_PASSWORD	Descrição da descoberta: uma base de dados do Cloud SQL que tem um endereço IP público não tem uma palavra-passe configurada para a conta raiz. Este detetor requer uma configuração adicional para ser ativado. Para ver instruções, consulte o artigo Ative e desative detetores. Nível de preços: Premium Recursos compatíveis sqladmin.googleapis.com/Instance Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 6.3 CIS GCP Foundation 1.1: 6.1.1 CIS GCP Foundation 1.2: 6.1.1 CIS GCP Foundation 1.3: 6.1.1 CIS GCP Foundation 2.0: 6.1.1 CIS GCP Foundation 3.0: 6.1.1 NIST 800-53 R4: AC-3 PCI-DSS v3.2.1: 2.1 ISO-27001 v2013: A.8.2.3, A.9.4.2 ISO-27001 v2022: A.8.5	Verifica se a propriedade rootPassword da conta raiz está vazia. Autorizações de IAM adicionais: roles/cloudsql.client Entradas adicionais: consulta instâncias em direto Análises em tempo real: não
SQL public IP Nome da categoria na API: SQL_PUBLIC_IP	Descrição da descoberta: uma base de dados do Cloud SQL tem um endereço IP público. Nível de preços: Premium Recursos compatíveis sqladmin.googleapis.com/Instance Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.1: 6.6 CIS GCP Foundation 1.2: 6.6 CIS GCP Foundation 1.3: 6.6 CIS GCP Foundation 2.0: 6.2.9, 6.6 CIS GCP Foundation 3.0: 6.2.9, 6.6 NIST 800-53 R5: AC-3, AC-5, AC-6, MA-4, MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.2, CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3, 4.6	Verifica se o tipo de endereço IP de uma base de dados do Cloud SQL está definido como Primary, o que indica que é público. Análises em tempo real: sim
SQL remote access enabled Nome da categoria na API: SQL_REMOTE_ACCESS_ENABLED	Descrição da deteção: A flag da base de dados remote access para uma instância do Cloud SQL para SQL Server não está definida como off. Nível de preços: Premium Recursos compatíveis sqladmin.googleapis.com/Instance Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.2: 6.3.5 CIS GCP Foundation 1.3: 6.3.5 CIS GCP Foundation 2.0: 6.3.5 CIS GCP Foundation 3.0: 6.3.5 NIST 800-53 R5: CM-6, CM-7 PCI-DSS v4.0: 1.2.5, 2.2.4, 6.4.1 ISO-27001 v2022: A.8.9 SOC2 v2017: CC6.6.1, CC6.6.3, CC6.6.4 CIS Controls 8.0: 4.8	Verifica a propriedade databaseFlags dos metadados da instância para o par de chave-valor "name": "remote access", "value": "off". Análises em tempo real: sim
SQL skip show database disabled Nome da categoria na API: SQL_SKIP_SHOW_DATABASE_DISABLED	Descrição da deteção: O sinalizador da base de dados skip_show_database para uma instância do Cloud SQL para MySQL não está definido como on. Nível de preços: Premium Recursos compatíveis sqladmin.googleapis.com/Instance Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.2: 6.1.2 CIS GCP Foundation 1.3: 6.1.2 CIS GCP Foundation 2.0: 6.1.2 CIS GCP Foundation 3.0: 6.1.2 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	Verifica a propriedade databaseFlags dos metadados da instância para o par de chave-valor "name": "skip_show_database", "value": "on". Análises em tempo real: sim
SQL trace flag 3625 Nome da categoria na API: SQL_TRACE_FLAG_3625	Descrição da deteção: A flag da base de dados 3625 (trace flag) para uma instância do Cloud SQL para SQL Server não está definida como on. Nível de preços: Premium Recursos compatíveis sqladmin.googleapis.com/Instance Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.2: 6.3.6 CIS GCP Foundation 2.0: 6.3.6 CIS GCP Foundation 3.0: 6.3.6 NIST 800-53 R5: CM-1, CM-2, CM-6, CM-7, CM-9, SA-10, SA-3, SA-8 PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.5.1, 2.1.1, 2.2.1 ISO-27001 v2022: A.8.1, A.8.9 Cloud Controls Matrix 4: CCC-01 NIST Cybersecurity Framework 1.0: PR-IP-1 SOC2 v2017: CC7.1.2, CC7.1.3, CC7.1.4, CC8.1.1, CC8.1.10, CC8.1.11, CC8.1.12, CC8.1.13, CC8.1.14, CC8.1.15, CC8.1.2, CC8.1.3, CC8.1.4, CC8.1.5, CC8.1.6, CC8.1.7, CC8.1.8, CC8.1.9 CIS Controls 8.0: 4.1	Verifica a propriedade databaseFlags dos metadados da instância para o par de chave-valor "name": "3625 (trace flag)", "value": "on". Análises em tempo real: sim
SQL user connections configured Nome da categoria na API: SQL_USER_CONNECTIONS_CONFIGURED	Descrição da descoberta: A flag da base de dados user connections para uma instância do Cloud SQL para SQL Server está configurada. Nível de preços: Premium Recursos compatíveis sqladmin.googleapis.com/Instance Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.2: 6.3.3 CIS GCP Foundation 1.3: 6.3.3 CIS GCP Foundation 2.0: 6.3.3 CIS GCP Foundation 3.0: 6.3.3 NIST 800-53 R5: CM-1, CM-2, CM-6, CM-7, CM-9, SA-10, SA-3, SA-8 PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.5.1, 2.1.1, 2.2.1 ISO-27001 v2022: A.8.1, A.8.9 Cloud Controls Matrix 4: CCC-01 NIST Cybersecurity Framework 1.0: PR-IP-1 SOC2 v2017: CC7.1.2, CC7.1.3, CC7.1.4, CC8.1.1, CC8.1.10, CC8.1.11, CC8.1.12, CC8.1.13, CC8.1.14, CC8.1.15, CC8.1.2, CC8.1.3, CC8.1.4, CC8.1.5, CC8.1.6, CC8.1.7, CC8.1.8, CC8.1.9 CIS Controls 8.0: 4.1	Verifica a propriedade databaseFlags dos metadados da instância para o par de chave-valor "name": "user connections", "value": "0". Análises em tempo real: sim
SQL user options configured Nome da categoria na API: SQL_USER_OPTIONS_CONFIGURED	Descrição da deteção: A flag da base de dados user options para uma instância do Cloud SQL para SQL Server está configurada. Nível de preços: Premium Recursos compatíveis sqladmin.googleapis.com/Instance Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.2: 6.3.4 CIS GCP Foundation 1.3: 6.3.4 CIS GCP Foundation 2.0: 6.3.4 CIS GCP Foundation 3.0: 6.3.4 NIST 800-53 R5: CM-1, CM-2, CM-6, CM-7, CM-9, SA-10, SA-3, SA-8 PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.5.1, 2.1.1, 2.2.1 ISO-27001 v2022: A.8.1, A.8.9 Cloud Controls Matrix 4: CCC-01 NIST Cybersecurity Framework 1.0: PR-IP-1 SOC2 v2017: CC7.1.2, CC7.1.3, CC7.1.4, CC8.1.1, CC8.1.10, CC8.1.11, CC8.1.12, CC8.1.13, CC8.1.14, CC8.1.15, CC8.1.2, CC8.1.3, CC8.1.4, CC8.1.5, CC8.1.6, CC8.1.7, CC8.1.8, CC8.1.9 CIS Controls 8.0: 4.1	Verifica a propriedade databaseFlags dos metadados da instância para o par de chave-valor "name": "user options", "value": "" (vazio). Análises em tempo real: sim
SQL weak root password Nome da categoria na API: SQL_WEAK_ROOT_PASSWORD	Descrição da deteção: uma base de dados do Cloud SQL que tem um endereço IP público também tem uma palavra-passe fraca configurada para a conta raiz. Este detetor requer uma configuração adicional para ser ativado. Para ver instruções, consulte o artigo Ative e desative detetores. Nível de preços: Premium Recursos compatíveis sqladmin.googleapis.com/Instance Corrija esta descoberta Esta categoria de descoberta não está mapeada para nenhum padrão de conformidade.	Compara a palavra-passe da conta raiz da sua base de dados do Cloud SQL com uma lista de palavras-passe comuns. Autorizações de IAM adicionais: roles/cloudsql.client Entradas adicionais: consulta instâncias em direto Análises em tempo real: não

Resultados de vulnerabilidades da sub-rede

As vulnerabilidades deste tipo de detetor estão todas relacionadas com as configurações de sub-rede de uma organização e pertencem ao tipo SUBNETWORK_SCANNER.

Detetor	Resumo	Definições de análise de recursos
Flow logs disabled Nome da categoria na API: FLOW_LOGS_DISABLED	Descrição da descoberta: Existe uma sub-rede de VPC que tem os registos de fluxo desativados. Nível de preços: Premium Recursos compatíveis compute.googleapis.com/Subnetwork Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 3.9 CIS GCP Foundation 1.1: 3.8 CIS GCP Foundation 1.2: 3.8 NIST 800-53 R4: SI-4 PCI-DSS v3.2.1: 10.1, 10.2 ISO-27001 v2013: A.13.1.1	Verifica se a propriedade enableFlowLogs das sub-redes do Compute Engine está em falta ou definida como false. Recursos excluídos das análises: Acesso a VPC sem servidor, sub-redes do balanceador de carga Análises em tempo real: sim
Flow logs settings not recommended Nome da categoria na API: VPC_FLOW_LOGS_SETTINGS_NOT_RECOMMENDED	Descrição da descoberta: Para uma sub-rede VPC, os registos de fluxo VPC estão desativados ou não estão configurados de acordo com as recomendações do CIS Benchmark 1.3. Este detetor requer uma configuração adicional para ser ativado. Para ver instruções, consulte o artigo Ative e desative detetores. Nível de preços: Premium Recursos compatíveis compute.googleapis.com/Subnetwork Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.3: 3.8 CIS GCP Foundation 2.0: 3.8 CIS GCP Foundation 3.0: 3.8 NIST 800-53 R5: SI-4 ISO-27001 v2022: A.8.15, A.8.16 Cloud Controls Matrix 4: IVS-03 NIST Cybersecurity Framework 1.0: DE-CM-1 SOC2 v2017: CC7.2.1, CC7.2.2, CC7.2.3, CC7.2.4 CIS Controls 8.0: 13.6, 8.2	Verifica se a propriedade enableFlowLogs das subredes VPC está em falta ou definida como false. Se os registos de fluxo de VPC estiverem ativados, verifica se a propriedade Aggregation Interval está definida como 5 SEC, se Include metadata está definida como true e se Sample rate está definida como 100%. Recursos excluídos das análises: Acesso a VPC sem servidor, sub-redes do balanceador de carga Análises em tempo real: sim
Private Google access disabled Nome da categoria na API: PRIVATE_GOOGLE_ACCESS_DISABLED	Descrição da descoberta: Existem sub-redes privadas sem acesso às APIs públicas da Google. Nível de preços: Premium Recursos compatíveis storage.googleapis.com/Bucket compute.googleapis.com/Subnetwork Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS GCP Foundation 1.0: 3.8	Verifica se a propriedade privateIpGoogleAccess das sub-redes do Compute Engine está definida como false. Análises em tempo real: sim

Descobertas do AWS

Detetor	Resumo	Definições de análise de recursos
AWS Cloud Shell Full Access Restricted Nome da categoria na API: ACCESS_AWSCLOUDSHELLFULLACCESS_RESTRICTED	Descrição da descoberta: O AWS CloudShell é uma forma conveniente de executar comandos da CLI em serviços AWS. Uma política de IAM gerida ("AWSCloudShellFullAccess") fornece acesso total ao CloudShell, o que permite a capacidade de carregamento e transferência de ficheiros entre o sistema local de um utilizador e o ambiente do CloudShell. No ambiente do Cloud Shell, um utilizador tem autorizações sudo e pode aceder à Internet. Por isso, é possível instalar software de transferência de ficheiros (por exemplo) e mover dados do Cloud Shell para servidores de Internet externos. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS AWS Foundation 2.0.0: 1.22 CIS AWS Foundation 3.0.0: 1.22	Certifique-se de que o acesso ao AWSCloudShellFullAccess está restrito Análises em tempo real: não
Access Keys Rotated Every 90 Days or Less Nome da categoria na API: ACCESS_KEYS_ROTATED_90_DAYS_LESS	Descrição da descoberta: As chaves de acesso consistem num ID da chave de acesso e numa chave de acesso secreta, que são usados para assinar pedidos programáticos que faz à AWS. Os utilizadores do AWS precisam das suas próprias chaves de acesso para fazer chamadas programáticas para o AWS a partir da interface de linhas de comando do AWS (AWS CLI), das ferramentas para o Windows PowerShell, dos SDKs do AWS ou de chamadas HTTP diretas através das APIs para serviços individuais do AWS. Recomendamos que todas as chaves de acesso sejam alternadas regularmente. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: AC-3(15) PCI-DSS v3.2.1: 8.2.4 CIS AWS Foundation 2.0.0: 1.14 CIS AWS Foundation 3.0.0: 1.14 CIS Controls 8.0: 5	Certifique-se de que as chaves de acesso são alternadas a cada 90 dias ou menos Análises em tempo real: não
All Expired Ssl Tls Certificates Stored Aws Iam Removed Nome da categoria na API: ALL_EXPIRED_SSL_TLS_CERTIFICATES_STORED_AWS_IAM_REMOVED	Descrição da descoberta: Para ativar as ligações HTTPS ao seu Website ou aplicação na AWS, precisa de um certificado de servidor SSL/TLS. Pode usar o ACM ou o IAM para armazenar e implementar certificados de servidor. Use o IAM como gestor de certificados apenas quando tiver de ser compatível com ligações HTTPS numa região que não seja compatível com o ACM. A IAM encripta de forma segura as suas chaves privadas e armazena a versão encriptada no armazenamento de certificados SSL da IAM. O IAM é compatível com a implementação de certificados de servidor em todas as regiões, mas tem de obter o seu certificado junto de um fornecedor externo para usar com o AWS. Não pode carregar um certificado ACM para o IAM. Além disso, não pode gerir os seus certificados a partir da consola de IAM. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: AU-11, CM-12, SI-12 PCI-DSS v4.0: 9.4.2 ISO-27001 v2022: A.5.10, A.5.9, A.8.1 Cloud Controls Matrix 4: DSP-01 NIST Cybersecurity Framework 1.0: PR-IP-6 CIS AWS Foundation 2.0.0: 1.19 CIS AWS Foundation 3.0.0: 1.19 CIS Controls 8.0: 3.1	Certifique-se de que todos os certificados SSL/TLS expirados armazenados no AWS IAM são removidos Análises em tempo real: não
Autoscaling Group Elb Healthcheck Required Nome da categoria na API: AUTOSCALING_GROUP_ELB_HEALTHCHECK_REQUIRED	Descrição da descoberta: Isto verifica se os seus grupos de escalonamento automático associados a um balanceador de carga estão a usar as verificações de estado do Elastic Load Balancing. Isto garante que o grupo pode determinar o estado de uma instância com base em testes adicionais fornecidos pelo balanceador de carga. A utilização de verificações de estado do Elastic Load Balancing pode ajudar a garantir a disponibilidade de aplicações que usam grupos de escala automática do EC2. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: SI-2	Verifica se todos os grupos de escalonamento automático associados a um balanceador de carga usam verificações de estado Análises em tempo real: não
Auto Minor Version Upgrade Feature Enabled Rds Instances Nome da categoria na API: AUTO_MINOR_VERSION_UPGRADE_FEATURE_ENABLED_RDS_INSTANCES	Descrição da descoberta: Certifique-se de que as instâncias da base de dados do RDS têm a flag Auto Minor Version Upgrade ativada para receberem automaticamente atualizações secundárias do motor durante o período de manutenção especificado. Assim, as instâncias do RDS podem receber as novas funcionalidades, as correções de erros e os patches de segurança para os respetivos motores de bases de dados. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: RA-5, RA-7, SI-2 ISO-27001 v2022: A.8.8 Cloud Controls Matrix 4: UEM-03 NIST Cybersecurity Framework 1.0: ID-RA-1 SOC2 v2017: CC7.1.1, CC7.1.2, CC7.1.3, CC7.1.4, CC7.1.5 CIS AWS Foundation 2.0.0: 2.3.2 CIS AWS Foundation 3.0.0: 2.3.2 CIS Controls 8.0: 7.4	Certifique-se de que a funcionalidade de atualização automática de versão secundária está ativada para as instâncias do RDS Análises em tempo real: não
Aws Config Enabled All Regions Nome da categoria na API: AWS_CONFIG_ENABLED_ALL_REGIONS	Descrição da descoberta: O AWS Config é um serviço Web que faz a gestão de configuração dos recursos AWS compatíveis na sua conta e envia-lhe ficheiros de registo. As informações registadas incluem o item de configuração (recurso da AWS), as relações entre os itens de configuração (recursos da AWS) e quaisquer alterações de configuração entre recursos. Recomenda-se que o AWS Config seja ativado em todas as regiões. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: CM-8, PM-5 PCI-DSS v4.0: 11.2.1, 11.2.2, 12.5.1, 9.5.1, 9.5.1.1 ISO-27001 v2022: A.5.9, A.8.8 Cloud Controls Matrix 4: UEM-04 NIST Cybersecurity Framework 1.0: ID-AM-1, PR-DS-3 SOC2 v2017: CC3.2.6, CC6.1.1 HIPAA: 164.310(d)(2)(iii) CIS AWS Foundation 2.0.0: 3.5 CIS AWS Foundation 3.0.0: 3.5 CIS Controls 8.0: 1.1	Certifique-se de que o AWS Config está ativado em todas as regiões Análises em tempo real: não
Aws Security Hub Enabled Nome da categoria na API: AWS_SECURITY_HUB_ENABLED	Descrição da descoberta: O Security Hub recolhe dados de segurança de contas, serviços e produtos de parceiros de terceiros compatíveis da AWS, e ajuda a analisar as suas tendências de segurança e a identificar os problemas de segurança de maior prioridade. Quando ativa o Security Hub, este começa a consumir, agregar, organizar e dar prioridade às descobertas dos serviços da AWS que ativou, como o Amazon GuardDuty, o Amazon Inspector e o Amazon Macie. Também pode ativar integrações com produtos de segurança de parceiros da AWS. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: CA-7 PCI-DSS v3.2.1: 11.5 CIS AWS Foundation 2.0.0: 4.16 CIS AWS Foundation 3.0.0: 4.16	Certifique-se de que o AWS Security Hub está ativado Análises em tempo real: não
Cloudtrail Logs Encrypted Rest Using Kms Cmks Nome da categoria na API: CLOUDTRAIL_LOGS_ENCRYPTED_REST_USING_KMS_CMKS	Descrição da descoberta: O AWS CloudTrail é um serviço Web que regista chamadas API do AWS para uma conta e disponibiliza esses registos aos utilizadores e recursos de acordo com as políticas de IAM. O AWS Key Management Service (KMS) é um serviço gerido que ajuda a criar e controlar as chaves de encriptação usadas para encriptar os dados da conta e usa Hardware Security Modules (HSMs) para proteger a segurança das chaves de encriptação. Os registos do CloudTrail podem ser configurados para tirar partido da encriptação do lado do servidor (SSE) e das chaves mestras criadas pelo cliente (CMK) do KMS para proteger ainda mais os registos do CloudTrail. Recomendamos que o CloudTrail seja configurado para usar o SSE-KMS. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: IA-5, SC-28, SI-7(6) PCI-DSS v3.2.1: 10.5.2 PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2 ISO-27001 v2022: A.5.33 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-1 SOC2 v2017: CC6.1.10, CC6.1.3 HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii) CIS AWS Foundation 2.0.0: 3.7 CIS AWS Foundation 3.0.0: 3.5 CIS Controls 8.0: 3.11	Certifique-se de que os registos do CloudTrail são encriptados em repouso com as CMKs do KMS Análises em tempo real: não
Cloudtrail Log File Validation Enabled Nome da categoria na API: CLOUDTRAIL_LOG_FILE_VALIDATION_ENABLED	Descrição da descoberta: A validação do ficheiro de registo do CloudTrail cria um ficheiro de resumo assinado digitalmente que contém um hash de cada registo que o CloudTrail escreve no S3. Estes ficheiros de resumo podem ser usados para determinar se um ficheiro de registo foi alterado, eliminado ou não foi alterado depois de o CloudTrail ter enviado o registo. Recomenda-se que a validação de ficheiros seja ativada em todos os CloudTrails. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: AU-6, AU-7, SI-7(7) PCI-DSS v3.2.1: 11.5 PCI-DSS v4.0: 10.4.1, 10.4.1.1, 10.4.2, 10.4.3 ISO-27001 v2022: A.5.25 Cloud Controls Matrix 4: LOG-05 NIST Cybersecurity Framework 1.0: DE-AE-2, PR-PT-1, RS-AN-1 SOC2 v2017: CC4.1.1, CC4.1.2, CC4.1.3, CC4.1.4, CC4.1.5, CC4.1.6, CC4.1.7, CC4.1.8, CC7.3.1, CC7.3.2, CC7.3.3, CC7.3.4, CC7.3.5 HIPAA: 164.308(a)(1)(ii), 164.312(b) CIS AWS Foundation 2.0.0: 3.2 CIS AWS Foundation 3.0.0: 3.2 CIS Controls 8.0: 8.11	Certifique-se de que a validação do ficheiro de registo do CloudTrail está ativada Análises em tempo real: não
Cloudtrail Trails Integrated Cloudwatch Logs Nome da categoria na API: CLOUDTRAIL_TRAILS_INTEGRATED_CLOUDWATCH_LOGS	Descrição da descoberta: O AWS CloudTrail é um serviço Web que regista as chamadas API da AWS feitas numa determinada conta da AWS. As informações registadas incluem a identidade do autor da chamada API, a hora da chamada API, o endereço IP de origem do autor da chamada API, os parâmetros do pedido e os elementos de resposta devolvidos pelo serviço AWS. O CloudTrail usa o Amazon S3 para armazenamento e entrega de ficheiros de registo, pelo que os ficheiros de registo são armazenados de forma duradoura. Além de captar registos do CloudTrail num contentor do S3 especificado para análise a longo prazo, é possível realizar uma análise em tempo real configurando o CloudTrail para enviar registos para o CloudWatch Logs. Para um rasto que esteja ativado em todas as regiões de uma conta, o CloudTrail envia ficheiros de registo de todas essas regiões para um grupo de registos do CloudWatch Logs. Recomenda-se que os registos do CloudTrail sejam enviados para os registos do CloudWatch. Nota: o objetivo desta recomendação é garantir que a atividade da conta da AWS está a ser captada, monitorizada e acionada adequadamente. O CloudWatch Logs é uma forma nativa de o fazer através dos serviços da AWS, mas não impede a utilização de uma solução alternativa. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: AU-12, AU-3, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5 ISO-27001 v2022: A.5.28, A.8.15 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1 SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3 CIS AWS Foundation 2.0.0: 3.4 CIS Controls 8.0: 8.5, 8.9	Certifique-se de que os trilhos do CloudTrail estão integrados com os registos do CloudWatch Análises em tempo real: não
Cloudwatch Alarm Action Check Nome da categoria na API: CLOUDWATCH_ALARM_ACTION_CHECK	Descrição da descoberta: Isto verifica se o Amazon CloudWatch tem ações definidas quando um alarme transita entre os estados "OK", "ALARM" e "INSUFFICIENT_DATA". A configuração de ações para o estado ALARM nos alarmes do Amazon CloudWatch é muito importante para acionar uma resposta imediata quando as métricas monitorizadas ultrapassam os limites. Garante uma resolução rápida de problemas, reduz o tempo de inatividade e permite uma correção automática, mantendo o sistema em bom estado e evitando interrupções. Os alarmes têm, pelo menos, uma ação. Os alarmes têm, pelo menos, uma ação quando o alarme passa para o estado "INSUFFICIENT_DATA" a partir de qualquer outro estado. (Opcional) Os alarmes têm, pelo menos, uma ação quando o alarme passa para um estado "OK" a partir de qualquer outro estado. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: SI-20	Verifica se os alarmes do CloudWatch têm, pelo menos, uma ação de alarme, uma ação INSUFFICIENT_DATA ou uma ação OK ativada. Análises em tempo real: não
Cloudwatch Log Group Encrypted Nome da categoria na API: CLOUDWATCH_LOG_GROUP_ENCRYPTED	Descrição da descoberta: Esta verificação garante que os registos do CloudWatch estão configurados com o KMS. Os dados do grupo de registos são sempre encriptados no CloudWatch Logs. Por predefinição, o CloudWatch Logs usa a encriptação do lado do servidor para os dados de registo em repouso. Em alternativa, pode usar o AWS Key Management Service para esta encriptação. Se o fizer, a encriptação é feita através de uma chave do AWS KMS. A encriptação com o AWS KMS é ativada ao nível do grupo de registos, associando uma chave do KMS a um grupo de registos, quando cria o grupo de registos ou após a sua existência. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: PCI-DSS v3.2.1: 3.4	Verifica se todos os grupos de registos no Amazon CloudWatch Logs estão encriptados com o KMS Análises em tempo real: não
CloudTrail CloudWatch Logs Enabled Nome da categoria na API: CLOUD_TRAIL_CLOUD_WATCH_LOGS_ENABLED	Descrição da descoberta: Este controlo verifica se os trilhos do CloudTrail estão configurados para enviar registos para o CloudWatch Logs. O controlo falha se a propriedade CloudWatchLogsLogGroupArn do rasto estiver vazia. O CloudTrail regista as chamadas API da AWS feitas numa determinada conta. As informações registadas incluem o seguinte: A identidade do autor da chamada API A hora da chamada API O endereço IP de origem do autor da chamada API Os parâmetros do pedido Os elementos de resposta devolvidos pelo serviço AWS O CloudTrail usa o Amazon S3 para armazenamento e envio de ficheiros de registo. Pode capturar registos do CloudTrail num contentor do S3 especificado para análise a longo prazo. Para fazer uma análise em tempo real, pode configurar o CloudTrail para enviar registos para o CloudWatch Logs. Para um rasto que esteja ativado em todas as regiões de uma conta, o CloudTrail envia ficheiros de registo de todas essas regiões para um grupo de registos do CloudWatch Logs. O Security Hub recomenda que envie os registos do CloudTrail para o CloudWatch Logs. Tenha em atenção que esta recomendação se destina a garantir que a atividade da conta é captada, monitorizada e acionada adequadamente. Pode usar o CloudWatch Logs para configurar esta opção com os seus serviços AWS. Esta recomendação não impede a utilização de uma solução diferente. O envio de registos do CloudTrail para o CloudWatch Logs facilita o registo de atividade em tempo real e histórico com base no utilizador, na API, no recurso e no endereço IP. Pode usar esta abordagem para estabelecer alarmes e notificações para atividade anómala ou sensível da conta. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: SI-20 PCI-DSS v3.2.1: 10.5.3	Verifica se todos os trilhos do CloudTrail estão configurados para enviar registos para o AWS CloudWatch Análises em tempo real: não
No AWS Credentials in CodeBuild Project Environment Variables Nome da categoria na API: CODEBUILD_PROJECT_ENVVAR_AWSCRED_CHECK	Descrição da descoberta: Isto verifica se o projeto contém as variáveis de ambiente AWS_ACCESS_KEY_ID e AWS_SECRET_ACCESS_KEY. As credenciais de autenticação AWS_ACCESS_KEY_ID e AWS_SECRET_ACCESS_KEY nunca devem ser armazenadas em texto simples, uma vez que isto pode levar à exposição não intencional de dados e ao acesso não autorizado. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: IA-5, SA-3	Verifica se todos os projetos que contêm as variáveis de ambiente AWS_ACCESS_KEY_ID e AWS_SECRET_ACCESS_KEY não estão em texto simples Análises em tempo real: não
Codebuild Project Source Repo Url Check Nome da categoria na API: CODEBUILD_PROJECT_SOURCE_REPO_URL_CHECK	Descrição da descoberta: Isto verifica se um URL do repositório de origem do Bitbucket do projeto AWS CodeBuild contém tokens de acesso pessoal ou um nome de utilizador e uma palavra-passe. O controlo falha se o URL do repositório de origem do Bitbucket contiver tokens de acesso pessoal ou um nome de utilizador e uma palavra-passe. As credenciais de início de sessão não devem ser armazenadas nem transmitidas em texto simples, nem aparecer no URL do repositório de origem. Em vez de tokens de acesso pessoal ou credenciais de início de sessão, deve aceder ao seu fornecedor de origem no CodeBuild e alterar o URL do repositório de origem para conter apenas o caminho para a localização do repositório do Bitbucket. A utilização de tokens de acesso pessoal ou credenciais de início de sessão pode resultar na exposição não intencional de dados ou no acesso não autorizado. Nível de preços: Enterprise Corrija esta descoberta Esta categoria de descoberta não está mapeada para nenhum padrão de conformidade.	Verifica se todos os projetos que usam o GitHub ou o Bitbucket como origem usam o OAuth Análises em tempo real: não
Credentials Unused 45 Days Greater Disabled Nome da categoria na API: CREDENTIALS_UNUSED_45_DAYS_GREATER_DISABLED	Descrição da descoberta: Os utilizadores do AWS IAM podem aceder aos recursos da AWS através de diferentes tipos de credenciais, como palavras-passe ou chaves de acesso. Recomenda-se que todas as credenciais que não tenham sido usadas durante 45 dias ou mais sejam desativadas ou removidas. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: AC-2 PCI-DSS v4.0: 8.3.7 NIST Cybersecurity Framework 1.0: PR-AC-1 CIS AWS Foundation 2.0.0: 1.12 CIS AWS Foundation 3.0.0: 1.12 CIS Controls 8.0: 5.3	Certifique-se de que as credenciais não usadas durante 45 dias ou mais estão desativadas Análises em tempo real: não
Default Security Group Vpc Restricts All Traffic Nome da categoria na API: DEFAULT_SECURITY_GROUP_VPC_RESTRICTS_ALL_TRAFFIC	Descrição da descoberta: Uma VPC inclui um grupo de segurança predefinido cujas definições iniciais recusam todo o tráfego de entrada, permitem todo o tráfego de saída e permitem todo o tráfego entre instâncias atribuídas ao grupo de segurança. Se não especificar um grupo de segurança quando inicia uma instância, esta é atribuída automaticamente a este grupo de segurança predefinido. Os grupos de segurança oferecem uma filtragem com estado do tráfego de rede de entrada/saída para os recursos da AWS. Recomenda-se que o grupo de segurança predefinido restrinja todo o tráfego. A VPC predefinida em todas as regiões deve ter o respetivo grupo de segurança predefinido atualizado para estar em conformidade. Todas as VPCs criadas recentemente vão conter automaticamente um grupo de segurança predefinido que vai precisar de correção para estar em conformidade com esta recomendação. NOTA: ao implementar esta recomendação, o registo de fluxo da VPC é fundamental para determinar o acesso à porta com menos privilégios necessário para que os sistemas funcionem corretamente, uma vez que pode registar todas as aceitações e rejeições de pacotes que ocorrem nos grupos de segurança atuais. Isto reduz drasticamente a principal barreira à engenharia de privilégios mínimos: descobrir as portas mínimas exigidas pelos sistemas no ambiente. Mesmo que a recomendação de registo de fluxo de VPC nesta referência não seja adotada como uma medida de segurança permanente, deve ser usada durante qualquer período de descoberta e engenharia para grupos de segurança com menos privilégios. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS AWS Foundation 2.0.0: 5.4 CIS AWS Foundation 3.0.0: 5.4 CIS Controls 8.0: 3.3	Certifique-se de que o grupo de segurança predefinido de cada VPC restringe todo o tráfego Análises em tempo real: não
Dms Replication Not Public Nome da categoria na API: DMS_REPLICATION_NOT_PUBLIC	Descrição da descoberta: Verifica se as instâncias de replicação do AWS DMS são públicas. Para tal, examina o valor do campo PubliclyAccessible. Uma instância de replicação privada tem um endereço IP privado ao qual não pode aceder fora da rede de replicação. Uma instância de replicação deve ter um endereço IP privado quando as bases de dados de origem e de destino estão na mesma rede. A rede também tem de estar ligada à VPC da instância de replicação através de uma VPN, do AWS Direct Connect ou do VPC Peering. Para saber mais sobre instâncias de replicação públicas e privadas, consulte o artigo Instâncias de replicação públicas e privadas no manual do utilizador do AWS Database Migration Service. Também deve garantir que o acesso à configuração da instância do AWS DMS é limitado apenas a utilizadores autorizados. Para o fazer, restrinja as autorizações de IAM dos utilizadores para modificar as definições e os recursos do AWS DMS. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: SC-7 PCI-DSS v3.2.1: 2.2.2	Verifica se as instâncias de replicação do AWS Database Migration Service são públicas Análises em tempo real: não
Do Setup Access Keys During Initial User Setup All Iam Users Console Nome da categoria na API: DO_SETUP_ACCESS_KEYS_DURING_INITIAL_USER_SETUP_ALL_IAM_USERS_CONSOLE	Descrição da descoberta: Por predefinição, a consola da AWS não tem caixas de verificação selecionadas quando cria um novo utilizador do IAM. Ao criar as credenciais de utilizador do IAM, tem de determinar o tipo de acesso de que precisam. Acesso programático: o utilizador do IAM pode ter de fazer chamadas API, usar a AWS CLI ou usar as Tools for Windows PowerShell. Nesse caso, crie uma chave de acesso (ID da chave de acesso e uma chave de acesso secreta) para esse utilizador. Acesso à AWS Management Console: se o utilizador precisar de aceder à AWS Management Console, crie uma palavra-passe para o utilizador. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS AWS Foundation 2.0.0: 1.11 CIS AWS Foundation 3.0.0: 1.11 CIS Controls 8.0: 3.3, 5.4	Não configure chaves de acesso durante a configuração inicial do utilizador para todos os utilizadores do IAM que tenham uma palavra-passe da consola Análises em tempo real: não
Dynamodb Autoscaling Enabled Nome da categoria na API: DYNAMODB_AUTOSCALING_ENABLED	Descrição da descoberta: Isto verifica se uma tabela do Amazon DynamoDB pode dimensionar a respetiva capacidade de leitura e escrita conforme necessário. Este controlo é aprovado se a tabela usar o modo de capacidade a pedido ou o modo aprovisionado com o escalonamento automático configurado. A escalabilidade da capacidade com a procura evita exceções de limitação, o que ajuda a manter a disponibilidade das suas aplicações. As tabelas do DynamoDB no modo de capacidade a pedido só estão limitadas pelas quotas de tabelas predefinidas de débito do DynamoDB. Para aumentar estas quotas, pode apresentar um pedido de apoio técnico através do AWS Support. As tabelas do DynamoDB no modo aprovisionado com o dimensionamento automático ajustam dinamicamente a capacidade de débito aprovisionada em resposta aos padrões de tráfego. Para mais informações sobre a limitação de pedidos do DynamoDB, consulte o artigo Request throttling and burst capacity no guia do programador do Amazon DynamoDB. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: SI-13(5)	As tabelas do DynamoDB devem escalar automaticamente a capacidade com a procura Análises em tempo real: não
Dynamodb In Backup Plan Nome da categoria na API: DYNAMODB_IN_BACKUP_PLAN	Descrição da descoberta: Este controlo avalia se uma tabela do DynamoDB está abrangida por um plano de cópia de segurança. O controlo falha se uma tabela do DynamoDB não estiver abrangida por um plano de cópia de segurança. Este controlo só avalia as tabelas do DynamoDB que estão no estado ATIVO. As cópias de segurança ajudam a recuperar mais rapidamente de um incidente de segurança. Também reforçam a resiliência dos seus sistemas. Incluir tabelas do DynamoDB num plano de cópia de segurança ajuda a proteger os seus dados contra perda ou eliminação não intencional. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: SI-13(5)	As tabelas do DynamoDB devem ser abrangidas por um plano de cópia de segurança Análises em tempo real: não
Dynamodb Pitr Enabled Nome da categoria na API: DYNAMODB_PITR_ENABLED	Descrição da descoberta: A recuperação pontual (PITR) é um dos mecanismos disponíveis para fazer cópias de segurança de tabelas do DynamoDB. Uma cópia de segurança num determinado momento é mantida durante 35 dias. Se precisar de uma retenção mais longa, consulte o artigo Configure cópias de segurança agendadas para o Amazon DynamoDB através do AWS Backup na documentação do AWS. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: SI-13(5)	Verifica se a recuperação pontual (PITR) está ativada para todas as tabelas do AWS DynamoDB Análises em tempo real: não
Dynamodb Table Encrypted Kms Nome da categoria na API: DYNAMODB_TABLE_ENCRYPTED_KMS	Descrição da descoberta: Verifica se todas as tabelas do DynamoDB estão encriptadas com uma chave KMS gerida pelo cliente (não predefinida). Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: SI-7(6)	Verifica se todas as tabelas do DynamoDB estão encriptadas com o AWS Key Management Service (KMS) Análises em tempo real: não
Ebs Optimized Instance Nome da categoria na API: EBS_OPTIMIZED_INSTANCE	Descrição da descoberta: Verifica se a otimização do EBS está ativada para as suas instâncias EC2 que podem ser otimizadas para o EBS Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: SC-5(2)	Verifica se a otimização do EBS está ativada para todas as instâncias que suportam a otimização do EBS Análises em tempo real: não
Ebs Snapshot Public Restorable Check Nome da categoria na API: EBS_SNAPSHOT_PUBLIC_RESTORABLE_CHECK	Descrição da descoberta: Verifica se os instantâneos do Amazon Elastic Block Store não são públicos. O controlo falha se as capturas de dados do Amazon EBS forem restauráveis por qualquer pessoa. Os instantâneos do EBS são usados para fazer uma cópia de segurança dos dados nos seus volumes do EBS para o Amazon S3 num momento específico. Pode usar os instantâneos para restaurar estados anteriores de volumes EBS. Raramente é aceitável partilhar um resumo com o público. Normalmente, a decisão de partilhar um instantâneo publicamente foi tomada por engano ou sem uma compreensão completa das implicações. Esta verificação ajuda a garantir que toda essa partilha foi totalmente planeada e intencional. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: SC-7 PCI-DSS v3.2.1: 2.2.2	Os instantâneos do Amazon EBS não devem ser restauráveis publicamente Análises em tempo real: não
Ebs Volume Encryption Enabled All Regions Nome da categoria na API: EBS_VOLUME_ENCRYPTION_ENABLED_ALL_REGIONS	Descrição da descoberta: O Elastic Compute Cloud (EC2) é compatível com a encriptação em repouso quando usa o serviço Elastic Block Store (EBS). Embora esteja desativada por predefinição, é possível forçar a encriptação na criação de volumes EBS. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: IA-5, SC-28, SI-7(6) PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2 ISO-27001 v2022: A.5.33 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-1 SOC2 v2017: CC6.1.10, CC6.1.3 HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii) CIS AWS Foundation 2.0.0: 2.2.1 CIS AWS Foundation 3.0.0: 2.2.1 CIS Controls 8.0: 3.11	Certifique-se de que a encriptação de volumes EBS está ativada em todas as regiões Análises em tempo real: não
Ec2 Instances In Vpc Nome da categoria na API: EC2_INSTANCES_IN_VPC	Descrição da descoberta: A Amazon VPC oferece mais funcionalidades de segurança do que o EC2 Classic. Recomendamos que todos os nós pertençam a uma Amazon VPC. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: SC-7	Garante que todas as instâncias pertencem a uma VPC Análises em tempo real: não
Ec2 Instance No Public Ip Nome da categoria na API: EC2_INSTANCE_NO_PUBLIC_IP	Descrição da descoberta: As instâncias EC2 que têm um endereço IP público têm um risco acrescido de serem comprometidas. Recomenda-se que as instâncias EC2 não sejam configuradas com um endereço IP público. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: SC-7 PCI-DSS v3.2.1: 2.2.2	Garante que nenhuma instância tem um IP público Análises em tempo real: não
Ec2 Managedinstance Association Compliance Status Check Nome da categoria na API: EC2_MANAGEDINSTANCE_ASSOCIATION_COMPLIANCE_STATUS_CHECK	Descrição da descoberta: Uma associação do State Manager é uma configuração atribuída às suas instâncias geridas. A configuração define o estado que quer manter nas suas instâncias. Por exemplo, uma associação pode especificar que o software antivírus tem de estar instalado e em execução nas suas instâncias ou que determinadas portas têm de estar fechadas. As instâncias do EC2 que têm uma associação ao AWS Systems Manager estão sob a gestão do Systems Manager, o que facilita a aplicação de patches, a correção de configurações incorretas e a resposta a eventos de segurança. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: PCI-DSS v3.2.1: 6.2	Verifica o estado de conformidade da associação do AWS Systems Manager Análises em tempo real: não
Ec2 Managedinstance Patch Compliance Status Check Nome da categoria na API: EC2_MANAGEDINSTANCE_PATCH_COMPLIANCE_STATUS_CHECK	Descrição da descoberta: Este controlo verifica se o estado da conformidade da associação do AWS Systems Manager é COMPLIANT ou NON_COMPLIANT após a execução da associação numa instância. O controlo falha se o estado de conformidade da associação for NON_COMPLIANT. Uma associação do State Manager é uma configuração atribuída às suas instâncias geridas. A configuração define o estado que quer manter nas suas instâncias. Por exemplo, uma associação pode especificar que o software antivírus tem de estar instalado e em execução nas suas instâncias ou que determinadas portas têm de estar fechadas. Depois de criar uma ou mais associações do State Manager, as informações do estado de conformidade ficam imediatamente disponíveis para si. Pode ver o estado de conformidade na consola ou em resposta aos comandos da AWS CLI ou às ações correspondentes da API Systems Manager. Para associações, a Conformidade da configuração mostra o estado de conformidade (Em conformidade ou Não em conformidade). Também mostra o nível de gravidade atribuído à associação, como Crítico ou Médio. Para saber mais sobre a conformidade da associação do State Manager, consulte o artigo Acerca da conformidade da associação do State Manager no manual do utilizador do AWS Systems Manager. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: SI-2 PCI-DSS v3.2.1: 6.2	Verifica o estado de conformidade de patches do AWS Systems Manager Análises em tempo real: não
Ec2 Metadata Service Allows Imdsv2 Nome da categoria na API: EC2_METADATA_SERVICE_ALLOWS_IMDSV2	Descrição da descoberta: Ao ativar o Serviço de metadados em instâncias do AWS EC2, os utilizadores têm a opção de usar a versão 1 do Serviço de metadados de instâncias (IMDSv1; um método de pedido/resposta) ou a versão 2 do Serviço de metadados de instâncias (IMDSv2; um método orientado para sessões). Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: AC-6 CIS AWS Foundation 2.0.0: 5.6 CIS AWS Foundation 3.0.0: 5.6	Certifique-se de que o serviço de metadados EC2 só permite o IMDSv2 Análises em tempo real: não
Ec2 Volume Inuse Check Nome da categoria na API: EC2_VOLUME_INUSE_CHECK	Descrição da descoberta: Identificar e remover volumes do Elastic Block Store (EBS) não anexados (não usados) na sua conta da AWS para reduzir o custo da sua fatura mensal da AWS. A eliminação de volumes EBS não usados também reduz o risco de saída de dados confidenciais/sensíveis das suas instalações. Além disso, este controlo também verifica se as instâncias EC2 arquivadas estão configuradas para eliminar volumes após a rescisão. Por predefinição, as instâncias EC2 estão configuradas para eliminar os dados em todos os volumes EBS associados à instância e para eliminar o volume EBS raiz da instância. No entanto, todos os volumes EBS não raiz anexados à instância, no lançamento ou durante a execução, são mantidos após a rescisão por predefinição. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: CM-2	Verifica se os volumes do EBS estão anexados a instâncias do EC2 e configurados para eliminação após a rescisão da instância Análises em tempo real: não
Efs Encrypted Check Nome da categoria na API: EFS_ENCRYPTED_CHECK	Descrição da descoberta: O Amazon EFS suporta duas formas de encriptação para sistemas de ficheiros: encriptação de dados em trânsito e encriptação em repouso. Esta verificação confirma se todos os sistemas de ficheiros do EFS estão configurados com encriptação em repouso em todas as regiões ativadas na conta. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: SI-7(6) PCI-DSS v3.2.1: 8.2.1	Verifica se o EFS está configurado para encriptar dados de ficheiros através do KMS Análises em tempo real: não
Efs In Backup Plan Nome da categoria na API: EFS_IN_BACKUP_PLAN	Descrição da descoberta: As práticas recomendadas da Amazon recomendam a configuração de cópias de segurança para os seus Elastic File Systems (EFS). Esta ação verifica se existem cópias de segurança ativadas em todos os EFS em todas as regiões ativadas na sua conta da AWS. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: SI-13(5)	Verifica se os sistemas de ficheiros do EFS estão incluídos nos planos do AWS Backup Análises em tempo real: não
Elb Acm Certificate Required Nome da categoria na API: ELB_ACM_CERTIFICATE_REQUIRED	Descrição da descoberta: Verifica se o Classic Load Balancer usa certificados HTTPS/SSL fornecidos pelo AWS Certificate Manager (ACM). O controlo falha se o Classic Load Balancer configurado com o ouvinte HTTPS/SSL não usar um certificado fornecido pelo ACM. Para criar um certificado, pode usar o ACM ou uma ferramenta que seja compatível com os protocolos SSL e TLS, como o OpenSSL. O Security Hub recomenda que use o ACM para criar ou importar certificados para o seu balanceador de carga. O ACM integra-se com os balanceadores de carga clássicos para que possa implementar o certificado no seu balanceador de carga. Também deve renovar automaticamente estes certificados. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: AC-17, AC-4, IA-5, SC-12, SC-13, SC-23, SC-7, SC-8, SI-7, SI-7(6)	Verifica se todos os Classic Load Balancers usam certificados SSL fornecidos pelo AWS Certificate Manager Análises em tempo real: não
Elb Deletion Protection Enabled Nome da categoria na API: ELB_DELETION_PROTECTION_ENABLED	Descrição da descoberta: Verifica se um balanceador de carga de aplicações tem a proteção contra eliminação ativada. O controlo falha se a proteção contra eliminação não estiver configurada. Ative a proteção contra eliminação para proteger o seu balanceador de carga de aplicações contra eliminação. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: SC-5(2)	A proteção contra eliminação do balanceador de carga de aplicações deve estar ativada Análises em tempo real: não
Elb Logging Enabled Nome da categoria na API: ELB_LOGGING_ENABLED	Descrição da descoberta: Isto verifica se o balanceador de carga de aplicações e o balanceador de carga clássico têm o registo ativado. O controlo falha se access_logs.s3.enabled for falso. O Elastic Load Balancing fornece registos de acesso que captam informações detalhadas sobre os pedidos enviados para o seu balanceador de carga. Cada registo contém informações como a hora em que o pedido foi recebido, o endereço IP do cliente, as latências, os caminhos dos pedidos e as respostas do servidor. Pode usar estes registos de acesso para analisar padrões de tráfego e resolver problemas. Para saber mais, consulte o artigo Registos de acesso do Classic Load Balancer no manual do utilizador do Classic Load Balancer. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: SI-7(8) PCI-DSS v3.2.1: 10.3.1	Verifica se os balanceadores de carga clássicos e de aplicações têm o registo ativado Análises em tempo real: não
Elb Tls Https Listeners Only Nome da categoria na API: ELB_TLS_HTTPS_LISTENERS_ONLY	Descrição da descoberta: Esta verificação garante que todos os Classic Load Balancers estão configurados para usar uma comunicação segura. Um listener é um processo que verifica se existem pedidos de ligação. Está configurado com um protocolo e uma porta para ligações de front-end (cliente para balanceador de carga) e um protocolo e uma porta para ligações de back-end (balanceador de carga para instância). Para ver informações sobre as portas, os protocolos e as configurações de ouvintes compatíveis com o Elastic Load Balancing, consulte o artigo Listeners for your Classic Load Balancer. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: SI-7(6)	Verifica se todos os Classic Load Balancers estão configurados com ouvintes SSL ou HTTPS Análises em tempo real: não
Encrypted Volumes Nome da categoria na API: ENCRYPTED_VOLUMES	Descrição da descoberta: Verifica se os volumes EBS que estão num estado anexado estão encriptados. Para passar esta verificação, os volumes do EBS têm de estar em utilização e encriptados. Se o volume EBS não estiver anexado, não está sujeito a esta verificação. Para uma camada adicional de segurança dos seus dados confidenciais em volumes EBS, deve ativar a encriptação EBS em repouso. A encriptação do Amazon EBS oferece uma solução de encriptação simples para os seus recursos do EBS que não requer que crie, mantenha e proteja a sua própria infraestrutura de gestão de chaves. Usa chaves do KMS ao criar volumes e instantâneos encriptados. Para saber mais sobre a encriptação do Amazon EBS, consulte o artigo Amazon EBS encryption no manual do utilizador do Amazon EC2 para instâncias Linux. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: SI-7(6) PCI-DSS v3.2.1: 8.2.1	Os volumes do Amazon EBS anexados devem ser encriptados em repouso Análises em tempo real: não
Encryption At Rest Enabled Rds Instances Nome da categoria na API: ENCRYPTION_AT_REST_ENABLED_RDS_INSTANCES	Descrição da descoberta: As instâncias de bases de dados encriptadas do Amazon RDS usam o algoritmo de encriptação AES-256, que é a norma da indústria, para encriptar os seus dados no servidor que aloja as instâncias de bases de dados do Amazon RDS. Depois de os dados serem encriptados, o Amazon RDS processa a autenticação do acesso e a desencriptação dos dados de forma transparente, com um impacto mínimo no desempenho. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: IA-5, SC-28, SI-7(6) PCI-DSS v3.2.1: 8.2.1 PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2 ISO-27001 v2022: A.5.33 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-1 SOC2 v2017: CC6.1.10, CC6.1.3 HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii) CIS AWS Foundation 2.0.0: 2.3.1 CIS AWS Foundation 3.0.0: 2.3.1 CIS Controls 8.0: 3.11	Certifique-se de que a encriptação em repouso está ativada para as instâncias do RDS Análises em tempo real: não
Encryption Enabled Efs File Systems Nome da categoria na API: ENCRYPTION_ENABLED_EFS_FILE_SYSTEMS	Descrição da descoberta: Os dados do EFS devem ser encriptados em repouso com o AWS KMS (Key Management Service). Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: IA-5, SC-28 PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2 ISO-27001 v2022: A.5.33 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-1 SOC2 v2017: CC6.1.10, CC6.1.3 HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii) CIS AWS Foundation 2.0.0: 2.4.1 CIS AWS Foundation 3.0.0: 2.4.1 CIS Controls 8.0: 3.11	Certifique-se de que a encriptação está ativada para os sistemas de ficheiros do EFS Análises em tempo real: não
Iam Password Policy Nome da categoria na API: IAM_PASSWORD_POLICY	Descrição da descoberta: A AWS permite políticas de palavras-passe personalizadas na sua conta da AWS para especificar requisitos de complexidade e períodos de rotação obrigatórios para as palavras-passe dos utilizadores do IAM. Se não definir uma política de palavra-passe personalizada, as palavras-passe de utilizadores do IAM têm de cumprir a política de palavra-passe predefinida da AWS. As práticas recomendadas de segurança da AWS recomendam os seguintes requisitos de complexidade de palavras-passe: Exigir, pelo menos, um caráter em maiúsculas na palavra-passe. Exigir, pelo menos, um caráter em minúsculas nas palavras-passe. Exigir, pelo menos, um símbolo nas palavras-passe. Exigir, pelo menos, um número nas palavras-passe. Exigir um comprimento mínimo da palavra-passe de, pelo menos, 14 carateres. Exija, pelo menos, 24 palavras-passe antes de permitir a reutilização. Exigir, pelo menos, 90 antes da expiração da palavra-passe Este controlo verifica todos os requisitos da política de palavras-passe especificados. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: IA-5(1) PCI-DSS v3.2.1: 8.2.5	Verifica se a política de palavras-passe da conta para utilizadores de IAM cumpre os requisitos especificados Análises em tempo real: não
Iam Password Policy Prevents Password Reuse Nome da categoria na API: IAM_PASSWORD_POLICY_PREVENTS_PASSWORD_REUSE	Descrição da descoberta: As políticas de palavras-passe de IAM podem impedir a reutilização de uma determinada palavra-passe pelo mesmo utilizador. Recomenda-se que a política de palavras-passe impeça a reutilização de palavras-passe. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: IA-5 PCI-DSS v4.0: 2.2.2, 8.3.5, 8.3.6, 8.6.3 ISO-27001 v2022: A.5.17 Cloud Controls Matrix 4: IAM-02 SOC2 v2017: CC6.1.3, CC6.1.8, CC6.1.9 CIS AWS Foundation 2.0.0: 1.9 CIS AWS Foundation 3.0.0: 1.9 CIS Controls 8.0: 5.2	Certifique-se de que a política de palavras-passe de IAM impede a reutilização de palavras-passe Análises em tempo real: não
Iam Password Policy Requires Minimum Length 14 Greater Nome da categoria na API: IAM_PASSWORD_POLICY_REQUIRES_MINIMUM_LENGTH_14_GREATER	Descrição da descoberta: As políticas de palavras-passe são, em parte, usadas para aplicar requisitos de complexidade de palavras-passe. As políticas de palavras-passe do IAM podem ser usadas para garantir que as palavras-passe têm, pelo menos, um determinado comprimento. Recomenda-se que a política de palavras-passe exija um comprimento mínimo de 14 carateres para a palavra-passe. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS AWS Foundation 2.0.0: 1.8 CIS AWS Foundation 3.0.0: 1.8 CIS Controls 8.0: 5, 5.2	Certifique-se de que a política de palavras-passe do IAM requer um comprimento mínimo de 14 ou superior Análises em tempo real: não
Iam Policies Allow Full Administrative Privileges Attached Nome da categoria na API: IAM_POLICIES_ALLOW_FULL_ADMINISTRATIVE_PRIVILEGES_ATTACHED	Descrição da descoberta: As políticas de IAM são os meios através dos quais os privilégios são concedidos a utilizadores, grupos ou funções. É recomendado e considerado um conselho de segurança padrão conceder o privilégio mínimo, ou seja, conceder apenas as autorizações necessárias para realizar uma tarefa. Determine o que os utilizadores precisam de fazer e, em seguida, crie políticas para eles que lhes permitam realizar apenas essas tarefas, em vez de permitir privilégios administrativos totais. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS AWS Foundation 2.0.0: 1.16 CIS AWS Foundation 3.0.0: 1.16 CIS Controls 8.0: 3.3	Certifique-se de que as políticas de IAM que permitem privilégios administrativos "*:*" completos não estão anexadas Análises em tempo real: não
Iam Users Receive Permissions Groups Nome da categoria na API: IAM_USERS_RECEIVE_PERMISSIONS_GROUPS	Descrição da descoberta: Os utilizadores do IAM têm acesso a serviços, funções e dados através de políticas do IAM. Existem quatro formas de definir políticas para um utilizador: 1) Editar diretamente a política do utilizador, também conhecida como uma política inline ou de utilizador; 2) anexar uma política diretamente a um utilizador; 3) adicionar o utilizador a um grupo de IAM que tenha uma política anexada; 4) adicionar o utilizador a um grupo de IAM que tenha uma política inline. Apenas a terceira implementação é recomendada. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: AC-2, AC-5, AC-6, AU-9 PCI-DSS v4.0: 10.3.1, 7.1.1, 7.2.1, 7.2.2, 7.2.4, 7.2.6, 7.3.1, 7.3.2 ISO-27001 v2022: A.5.15, A.5.3, A.8.2, A.8.3 Cloud Controls Matrix 4: IAM-04 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.3.1, CC6.3.2, CC6.3.3 HIPAA: 164.308(a)(3)(ii), 164.308(a)(4)(i), 164.308(a)(4)(ii) CIS AWS Foundation 2.0.0: 1.15 CIS AWS Foundation 3.0.0: 1.15 CIS Controls 8.0: 6.8	Certifique-se de que os utilizadores de IAM recebem autorizações apenas através de grupos Análises em tempo real: não
Iam User Group Membership Check Nome da categoria na API: IAM_USER_GROUP_MEMBERSHIP_CHECK	Descrição da descoberta: Os utilizadores do IAM devem sempre fazer parte de um grupo do IAM para cumprir as práticas recomendadas de segurança do IAM. Ao adicionar utilizadores a um grupo, é possível partilhar políticas entre tipos de utilizadores. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: AC-6	Verifica se os utilizadores de IAM são membros de, pelo menos, um grupo de IAM Análises em tempo real: não
Iam User Mfa Enabled Nome da categoria na API: IAM_USER_MFA_ENABLED	Descrição da descoberta: A autenticação multifator (MFA) é uma prática recomendada que adiciona uma camada de proteção adicional aos nomes de utilizador e às palavras-passe. Com a MFA, quando um utilizador inicia sessão na AWS Management Console, tem de fornecer um código de autenticação sensível ao tempo, fornecido por um dispositivo virtual ou físico registado. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: PCI-DSS v3.2.1: 8.3.2	Verifica se os utilizadores do AWS IAM têm a autenticação multifator (MFA) ativada Análises em tempo real: não
Iam User Unused Credentials Check Nome da categoria na API: IAM_USER_UNUSED_CREDENTIALS_CHECK	Descrição da descoberta: Esta verificação procura palavras-passe de IAM ou chaves de acesso ativas que não tenham sido usadas nos últimos 90 dias. As práticas recomendadas sugerem que remova, desative ou altere todas as credenciais não usadas durante 90 dias ou mais. Isto reduz a janela de oportunidade para a utilização de credenciais associadas a uma conta comprometida ou abandonada. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: AC-6 PCI-DSS v3.2.1: 8.1.4	Verifica se todos os utilizadores do AWS IAM têm palavras-passe ou chaves de acesso ativas que não foram usadas em maxCredentialUsageAge dias (90 por predefinição) Análises em tempo real: não
Kms Cmk Not Scheduled For Deletion Nome da categoria na API: KMS_CMK_NOT_SCHEDULED_FOR_DELETION	Descrição da descoberta: Este controlo verifica se as chaves do KMS estão agendadas para eliminação. O controlo falha se uma chave do KMS estiver agendada para eliminação. Não é possível recuperar as chaves do KMS depois de eliminadas. Os dados encriptados com uma chave do KMS também são permanentemente irrecuperáveis se a chave do KMS for eliminada. Se tiverem sido encriptados dados significativos com uma chave do KMS agendada para eliminação, pondere desencriptar os dados ou voltar a encriptá-los com uma nova chave do KMS, a menos que esteja a realizar intencionalmente uma eliminação criptográfica. Quando uma chave do KMS é agendada para eliminação, é aplicado um período de espera obrigatório para dar tempo de reverter a eliminação, caso tenha sido agendada por engano. O período de espera predefinido é de 30 dias, mas pode ser reduzido para um mínimo de 7 dias quando a chave do KMS é agendada para eliminação. Durante o período de espera, a eliminação agendada pode ser cancelada e a chave do KMS não é eliminada. Para mais informações sobre a eliminação de chaves do KMS, consulte o artigo Eliminar chaves do KMS no guia do programador do AWS Key Management Service. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: SC-12	Verifica se todas as CMKs não estão agendadas para eliminação Análises em tempo real: não
Lambda Concurrency Check Nome da categoria na API: LAMBDA_CONCURRENCY_CHECK	Descrição da descoberta: Verifica se a função Lambda está configurada com um limite de execução simultânea ao nível da função. A regra é NON_COMPLIANT se a função Lambda não estiver configurada com um limite de execução simultânea ao nível da função. Nível de preços: Enterprise Corrija esta descoberta Esta categoria de descoberta não está mapeada para nenhum padrão de conformidade.	Verifica se as funções Lambda estão configuradas com o limite de execução simultânea ao nível da função Análises em tempo real: não
Lambda Dlq Check Nome da categoria na API: LAMBDA_DLQ_CHECK	Descrição da descoberta: Verifica se uma função Lambda está configurada com uma fila de mensagens não entregues. A regra é NON_COMPLIANT se a função Lambda não estiver configurada com uma fila de mensagens não entregues. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: SI-2	Verifica se as funções Lambda estão configuradas com uma fila de mensagens não entregues Análises em tempo real: não
Lambda Function Public Access Prohibited Nome da categoria na API: LAMBDA_FUNCTION_PUBLIC_ACCESS_PROHIBITED	Descrição da descoberta: As práticas recomendadas da AWS recomendam que a função Lambda não seja exposta publicamente. Esta política verifica todas as funções Lambda implementadas em todas as regiões ativadas na sua conta e falha se estiverem configuradas para permitir o acesso público. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: SC-7 PCI-DSS v3.2.1: 2.2.2	Verifica se a política anexada à função Lambda proíbe o acesso público Análises em tempo real: não
Lambda Inside Vpc Nome da categoria na API: LAMBDA_INSIDE_VPC	Descrição da descoberta: Verifica se uma função Lambda está numa VPC. Pode ver resultados com falhas para recursos do Lambda@Edge. Não avalia a configuração de encaminhamento da sub-rede da VPC para determinar a acessibilidade pública. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: SC-7 PCI-DSS v3.2.1: 2.2.2	Verifica se as funções Lambda existem numa VPC Análises em tempo real: não
Mfa Delete Enabled S3 Buckets Nome da categoria na API: MFA_DELETE_ENABLED_S3_BUCKETS	Descrição da descoberta: Assim que a eliminação com MFA estiver ativada no seu contentor S3 confidencial e classificado, o utilizador tem de ter duas formas de autenticação. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS AWS Foundation 2.0.0: 2.1.2 CIS AWS Foundation 3.0.0: 2.1.2 CIS Controls 8.0: 3.3, 6.5	Certifique-se de que a eliminação com MFA está ativada nos contentores do S3 Análises em tempo real: não
Mfa Enabled Root User Account Nome da categoria na API: MFA_ENABLED_ROOT_USER_ACCOUNT	Descrição da descoberta: A conta de utilizador "root" é o utilizador com mais privilégios numa conta da AWS. A autenticação multifator (MFA) adiciona uma camada adicional de proteção além do nome de utilizador e da palavra-passe. Com a MFA ativada, quando um utilizador inicia sessão num Website da AWS, é-lhe pedido o nome de utilizador e a palavra-passe, bem como um código de autenticação do respetivo dispositivo de MFA da AWS. Nota: quando o MFA virtual é usado para contas "raiz", recomendamos que o dispositivo usado NÃO seja um dispositivo pessoal, mas sim um dispositivo móvel dedicado (tablet ou telemóvel) que seja gerido para ser mantido carregado e seguro, independentemente de quaisquer dispositivos pessoais individuais. ("MFA virtual não pessoal") Isto reduz os riscos de perda de acesso à MFA devido à perda do dispositivo, à retoma do dispositivo ou se o indivíduo proprietário do dispositivo já não estiver empregado na empresa. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: IA-2, IA-2(8) PCI-DSS v3.2.1: 8.3.2 PCI-DSS v4.0: 2.2.7, 8.4.1 ISO-27001 v2022: A.8.2 Cloud Controls Matrix 4: IAM-10 NIST Cybersecurity Framework 1.0: PR-AC-7 SOC2 v2017: CC6.1.3, CC6.1.4, CC6.1.6, CC6.1.7, CC6.1.8 CIS AWS Foundation 2.0.0: 1.5 CIS AWS Foundation 3.0.0: 1.5 CIS Controls 8.0: 6.5	Certifique-se de que a MFA está ativada para a conta de utilizador "raiz" Análises em tempo real: não
Multi Factor Authentication Mfa Enabled All Iam Users Console Nome da categoria na API: MULTI_FACTOR_AUTHENTICATION_MFA_ENABLED_ALL_IAM_USERS_CONSOLE	Descrição da descoberta: A autenticação multifator (MFA) adiciona uma camada adicional de garantia de autenticação para além das credenciais tradicionais. Com a MFA ativada, quando um utilizador inicia sessão na AWS Console, é-lhe pedido o nome de utilizador e a palavra-passe, bem como um código de autenticação do respetivo token de MFA físico ou virtual. Recomenda-se que a MFA seja ativada para todas as contas que tenham uma palavra-passe da consola. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: IA-2, IA-2(8) PCI-DSS v3.2.1: 8.3.2 PCI-DSS v4.0: 2.2.7, 8.4.1 ISO-27001 v2022: A.8.2 Cloud Controls Matrix 4: IAM-10 NIST Cybersecurity Framework 1.0: PR-AC-7 SOC2 v2017: CC6.1.3, CC6.1.4, CC6.1.6, CC6.1.7, CC6.1.8 CIS AWS Foundation 2.0.0: 1.10 CIS Controls 8.0: 6.5	Certifique-se de que a autenticação multifator (MFA) está ativada para todos os utilizadores de IAM que têm uma palavra-passe da consola Análises em tempo real: não
No Network Acls Allow Ingress 0 0 0 0 Remote Server Administration Nome da categoria na API: NO_NETWORK_ACLS_ALLOW_INGRESS_0_0_0_0_REMOTE_SERVER_ADMINISTRATION	Descrição da descoberta: A função de Lista de controlo de acesso à rede (NACL) oferece uma filtragem sem estado do tráfego de rede de entrada e saída para os recursos da AWS. Recomenda-se que nenhuma NACL permita o acesso de entrada sem restrições a portas de administração de servidores remotos, como SSH para a porta 22 e RDP para a porta 3389, através dos protocolos TDP (6), UDP (17) ou ALL (-1) Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS AWS Foundation 2.0.0: 5.1 CIS AWS Foundation 3.0.0: 5.1	Certifique-se de que nenhuma LCA de rede permite a entrada de 0.0.0.0/0 em portas de administração de servidores remotos Análises em tempo real: não
No Root User Account Access Key Exists Nome da categoria na API: NO_ROOT_USER_ACCOUNT_ACCESS_KEY_EXISTS	Descrição da descoberta: A conta de utilizador "root" é o utilizador com mais privilégios numa conta da AWS. As chaves de acesso da AWS dão acesso programático a uma determinada conta da AWS. Recomenda-se que todas as chaves de acesso associadas à conta de utilizador "root" sejam eliminadas. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v3.2.1: 8.1.1 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS AWS Foundation 2.0.0: 1.4 CIS AWS Foundation 3.0.0: 1.4 CIS Controls 8.0: 3.3, 5.4	Certifique-se de que não existe nenhuma chave de acesso à conta de utilizador "root" Análises em tempo real: não
No Security Groups Allow Ingress 0 0 0 0 Remote Server Administration Nome da categoria na API: NO_SECURITY_GROUPS_ALLOW_INGRESS_0_0_0_0_REMOTE_SERVER_ADMINISTRATION	Descrição da descoberta: Os grupos de segurança oferecem uma filtragem com estado do tráfego de rede de entrada e saída para os recursos da AWS. Recomenda-se que nenhum grupo de segurança permita o acesso de entrada sem restrições às portas de administração do servidor remoto, como o SSH à porta 22 e o RDP à porta 3389, através dos protocolos TDP (6), UDP (17) ou ALL (-1) Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS AWS Foundation 2.0.0: 5.2 CIS AWS Foundation 3.0.0: 5.2	Certifique-se de que nenhum grupo de segurança permite a entrada de 0.0.0.0/0 em portas de administração de servidores remotos Análises em tempo real: não
No Security Groups Allow Ingress 0 Remote Server Administration Nome da categoria na API: NO_SECURITY_GROUPS_ALLOW_INGRESS_0_REMOTE_SERVER_ADMINISTRATION	Descrição da descoberta: Os grupos de segurança oferecem uma filtragem com estado do tráfego de rede de entrada e saída para os recursos da AWS. Recomenda-se que nenhum grupo de segurança permita o acesso de entrada sem restrições às portas de administração do servidor remoto, como o SSH à porta 22 e o RDP à porta 3389. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS AWS Foundation 2.0.0: 5.3 CIS AWS Foundation 3.0.0: 5.3	Certifique-se de que nenhum grupo de segurança permite a entrada de ::/0 em portas de administração de servidores remotos Análises em tempo real: não
One Active Access Key Available Any Single Iam User Nome da categoria na API: ONE_ACTIVE_ACCESS_KEY_AVAILABLE_ANY_SINGLE_IAM_USER	Descrição da descoberta: As chaves de acesso são credenciais de longo prazo para um utilizador do IAM ou o utilizador "raiz" da conta da AWS. Pode usar chaves de acesso para assinar pedidos programáticos para a AWS CLI ou a API AWS (diretamente ou através do SDK AWS) Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: CIS AWS Foundation 2.0.0: 1.13 CIS AWS Foundation 3.0.0: 1.13 CIS Controls 8.0: 5	Certifique-se de que existe apenas uma chave de acesso ativa disponível para qualquer utilizador do IAM Análises em tempo real: não
Public Access Given Rds Instance Nome da categoria na API: PUBLIC_ACCESS_GIVEN_RDS_INSTANCE	Descrição da descoberta: Certifique-se e confirme que as instâncias da base de dados do RDS aprovisionadas na sua conta da AWS restringem o acesso não autorizado para minimizar os riscos de segurança. Para restringir o acesso a qualquer instância de base de dados RDS acessível publicamente, tem de desativar a flag Publicly Accessible da base de dados e atualizar o grupo de segurança da VPC associado à instância. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2, SC-7 PCI-DSS v3.2.1: 2.2.2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS AWS Foundation 2.0.0: 2.3.3 CIS AWS Foundation 3.0.0: 2.3.3 CIS Controls 8.0: 3.3	Certifique-se de que não é concedido acesso público à instância do RDS Análises em tempo real: não
Rds Enhanced Monitoring Enabled Nome da categoria na API: RDS_ENHANCED_MONITORING_ENABLED	Descrição da descoberta: A monitorização melhorada fornece métricas em tempo real sobre o sistema operativo no qual a instância do RDS é executada, através de um agente instalado na instância. Para mais detalhes, consulte o artigo Monitorizar as métricas do SO com a monitorização melhorada. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: SI-2	Verifica se a monitorização melhorada está ativada para todas as instâncias de bases de dados RDS Análises em tempo real: não
Rds Instance Deletion Protection Enabled Nome da categoria na API: RDS_INSTANCE_DELETION_PROTECTION_ENABLED	Descrição da descoberta: A ativação da proteção contra a eliminação de instâncias é uma camada adicional de proteção contra a eliminação acidental da base de dados ou a eliminação por uma entidade não autorizada. Enquanto a proteção contra eliminação estiver ativada, não é possível eliminar uma instância de base de dados RDS. Para que um pedido de eliminação seja bem-sucedido, a proteção contra eliminação tem de estar desativada. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: SI-13(5)	Verifica se todas as instâncias do RDS têm a proteção contra eliminação ativada Análises em tempo real: não
Rds In Backup Plan Nome da categoria na API: RDS_IN_BACKUP_PLAN	Descrição da descoberta: Esta verificação avalia se as instâncias de bases de dados do Amazon RDS estão abrangidas por um plano de cópia de segurança. Este controlo falha se uma instância de base de dados RDS não estiver abrangida por um plano de cópia de segurança. O AWS Backup é um serviço de cópia de segurança totalmente gerido que centraliza e automatiza a cópia de segurança de dados em todos os serviços da AWS. Com o AWS Backup, pode criar políticas de cópia de segurança denominadas planos de cópia de segurança. Pode usar estes planos para definir os seus requisitos de cópia de segurança, como a frequência com que os dados são copiados e durante quanto tempo essas cópias de segurança são retidas. Incluir instâncias de bases de dados do RDS num plano de cópia de segurança ajuda a proteger os seus dados contra perdas ou eliminações indesejadas. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: SI-13(5)	As instâncias de bases de dados RDS devem ser abrangidas por um plano de cópia de segurança Análises em tempo real: não
Rds Logging Enabled Nome da categoria na API: RDS_LOGGING_ENABLED	Descrição da descoberta: Esta verificação determina se os seguintes registos do Amazon RDS estão ativados e são enviados para o CloudWatch. As bases de dados do RDS devem ter os registos relevantes ativados. O registo da base de dados fornece registos detalhados dos pedidos feitos ao RDS. Os registos da base de dados podem ajudar nas auditorias de segurança e acesso, bem como a diagnosticar problemas de disponibilidade. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: SI-7(8)	Verifica se os registos exportados estão ativados para todas as instâncias de bases de dados do RDS Análises em tempo real: não
Rds Multi Az Support Nome da categoria na API: RDS_MULTI_AZ_SUPPORT	Descrição da descoberta: As instâncias de bases de dados RDS devem ser configuradas para várias zonas de disponibilidade (AZs). Isto garante a disponibilidade dos dados armazenados. As implementações Multi-AZ permitem a ativação pós-falha automática se houver um problema com a disponibilidade da zona de disponibilidade e durante a manutenção regular do RDS. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: SI-13(5)	Verifica se a alta disponibilidade está ativada para todas as instâncias de bases de dados RDS Análises em tempo real: não
Redshift Cluster Configuration Check Nome da categoria na API: REDSHIFT_CLUSTER_CONFIGURATION_CHECK	Descrição da descoberta: Isto verifica os elementos essenciais de um cluster do Redshift: encriptação em repouso, registo e tipo de nó. Estes itens de configuração são importantes para a manutenção de um cluster Redshift seguro e observável. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: SI-7(8) PCI-DSS v3.2.1: 10.3.1	Verifica se todos os clusters do Redshift têm encriptação em repouso, registo e tipo de nó. Análises em tempo real: não
Redshift Cluster Maintenancesettings Check Nome da categoria na API: REDSHIFT_CLUSTER_MAINTENANCESETTINGS_CHECK	Descrição da descoberta: As atualizações automáticas de versões principais ocorrem de acordo com o período de manutenção Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: SI-2	Verifica se todos os clusters do Redshift têm a opção allowVersionUpgrade ativada e as opções preferredMaintenanceWindow e automatedSnapshotRetentionPeriod definidas Análises em tempo real: não
Redshift Cluster Public Access Check Nome da categoria na API: REDSHIFT_CLUSTER_PUBLIC_ACCESS_CHECK	Descrição da descoberta: O atributo PubliclyAccessible da configuração do cluster do Amazon Redshift indica se o cluster está acessível publicamente. Quando o cluster está configurado com PubliclyAccessible definido como verdadeiro, é uma instância com acesso à Internet que tem um nome DNS publicamente resolúvel, que é resolvido para um endereço IP público. Quando o cluster não está acessível publicamente, é uma instância interna com um nome DNS que se resolve para um endereço IP privado. A menos que queira que o seu cluster seja acessível publicamente, o cluster não deve ser configurado com PubliclyAccessible definido como verdadeiro. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: SC-7 PCI-DSS v3.2.1: 2.2.2	Verifica se os clusters do Redshift estão acessíveis publicamente Análises em tempo real: não
Restricted Common Ports Nome da categoria na API: RESTRICTED_COMMON_PORTS	Descrição da descoberta: Esta verificação determina se o tráfego de entrada sem restrições para os grupos de segurança está acessível às portas especificadas que têm o risco mais elevado. Este controlo falha se alguma das regras num grupo de segurança permitir tráfego de entrada de "0.0.0.0/0" ou "::/0" para essas portas. O acesso sem restrições (0.0.0.0/0) aumenta as oportunidades de atividade maliciosa, como pirataria informática, ataques de negação de serviço e perda de dados. Os grupos de segurança oferecem uma filtragem com estado do tráfego de rede de entrada e saída para os recursos da AWS. Nenhum grupo de segurança deve permitir o acesso de entrada sem restrições às seguintes portas: 20, 21 (FTP) 22 (SSH) 23 (Telnet) 25 (SMTP) 110 (POP3) 135 (RPC) 143 (IMAP) 445 (CIFS) 1433, 1434 (MSSQL) 3000 (frameworks de programação Web Go, Node.js e Ruby) 3306 (mySQL) 3389 (RDP) 4333 (ahsp) 5000 (frameworks de programação Web Python) 5432 (postgresql) 5500 (fcp-addr-srvr1) 5601 (OpenSearch Dashboards) 8080 (proxy) 8088 (porta HTTP antiga) 8888 (porta HTTP alternativa) 9200 ou 9300 (OpenSearch) Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: SC-7 PCI-DSS v3.2.1: 2.2.2	Os grupos de segurança não devem permitir o acesso sem restrições a portas com risco elevado Análises em tempo real: não
Restricted Ssh Nome da categoria na API: RESTRICTED_SSH	Descrição da descoberta: Os grupos de segurança oferecem uma filtragem com estado do tráfego de rede de entrada e saída para os recursos da AWS. O CIS recomenda que nenhum grupo de segurança permita o acesso de entrada sem restrições à porta 22. A remoção da conetividade sem restrições a serviços de consola remota, como o SSH, reduz a exposição de um servidor ao risco. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: SC-7 PCI-DSS v3.2.1: 2.2.2	Os grupos de segurança não devem permitir a entrada de 0.0.0.0/0 na porta 22 Análises em tempo real: não
Rotation Customer Created Cmks Enabled Nome da categoria na API: ROTATION_CUSTOMER_CREATED_CMKS_ENABLED	Descrição da descoberta: Verifica se a rotação automática de chaves está ativada para cada chave e corresponde ao ID da chave AWS KMS criada pelo cliente. A regra é NON_COMPLIANT se a função do gravador do AWS Config para um recurso não tiver a autorização kms:DescribeKey. Nível de preços: Enterprise Corrija esta descoberta Esta categoria de descoberta não está mapeada para nenhum padrão de conformidade.	Certifique-se de que a rotação das CMKs criadas pelo cliente está ativada Análises em tempo real: não
Rotation Customer Created Symmetric Cmks Enabled Nome da categoria na API: ROTATION_CUSTOMER_CREATED_SYMMETRIC_CMKS_ENABLED	Descrição da descoberta: O AWS Key Management Service (KMS) permite que os clientes alternem a chave de apoio, que é o material de chave armazenado no KMS associado ao ID da chave mestra do cliente (CMK) criada pelo cliente. É a chave de apoio usada para realizar operações criptográficas, como a encriptação e a desencriptação. Atualmente, a rotação automática de chaves retém todas as chaves de apoio anteriores para que a desencriptação de dados encriptados possa ocorrer de forma transparente. Recomenda-se que a rotação de chaves CMK seja ativada para chaves simétricas. Não é possível ativar a rotação de chaves para nenhuma CMK assimétrica. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: IA-5, SC-28 PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2 ISO-27001 v2022: A.5.33 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-1 SOC2 v2017: CC6.1.10, CC6.1.3 HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii) CIS AWS Foundation 2.0.0: 3.8 CIS AWS Foundation 3.0.0: 3.6 CIS Controls 8.0: 3.11	Certifique-se de que a rotação das CMKs simétricas criadas pelo cliente está ativada Análises em tempo real: não
Routing Tables Vpc Peering Are Least Access Nome da categoria na API: ROUTING_TABLES_VPC_PEERING_ARE_LEAST_ACCESS	Descrição da descoberta: Verifica se as tabelas de rotas para a ligação VPC estão configuradas com o princípio do menor privilégio. Nível de preços: Enterprise Corrija esta descoberta Esta categoria de descoberta não está mapeada para nenhum padrão de conformidade.	Certifique-se de que as tabelas de encaminhamento para a ligação VPC são de "acesso mínimo" Análises em tempo real: não
S3 Account Level Public Access Blocks Nome da categoria na API: S3_ACCOUNT_LEVEL_PUBLIC_ACCESS_BLOCKS	Descrição da descoberta: O Amazon S3 Block Public Access oferece definições para pontos de acesso, contentores e contas para ajudar a gerir o acesso público aos recursos do Amazon S3. Por predefinição, os novos contentores, pontos de acesso e objetos não permitem o acesso público. Nível de preços: Enterprise Corrija esta descoberta Esta categoria de descoberta não está mapeada para nenhum padrão de conformidade.	Verifica se as definições de bloqueio de acesso público do S3 necessárias estão configuradas ao nível da conta Análises em tempo real: não
S3 Buckets Configured Block Public Access Bucket And Account Settings Nome da categoria na API: S3_BUCKETS_CONFIGURED_BLOCK_PUBLIC_ACCESS_BUCKET_AND_ACCOUNT_SETTINGS	Descrição da descoberta: O Amazon S3 oferece Block public access (bucket settings) e Block public access (account settings) para ajudar a gerir o acesso público aos recursos do Amazon S3. Por predefinição, os contentores e os objetos do S3 são criados com o acesso público desativado. No entanto, um principal do AWS IAM com autorizações do S3 suficientes pode ativar o acesso público ao nível do contentor ou do objeto. Enquanto estiver ativada, a funcionalidade Block public access (bucket settings) impede que um contentor individual e os respetivos objetos fiquem acessíveis publicamente. Da mesma forma, o Block public access (account settings) impede que todos os contentores e objetos contidos se tornem acessíveis publicamente em toda a conta. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2, SC-7 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS AWS Foundation 2.0.0: 2.1.4 CIS Controls 8.0: 3.3	Certifique-se de que os contentores do S3 estão configurados com o Block public access (bucket settings). Análises em tempo real: não
S3 Bucket Access Logging Enabled Cloudtrail S3 Bucket Nome da categoria na API: S3_BUCKET_ACCESS_LOGGING_ENABLED_CLOUDTRAIL_S3_BUCKET	Descrição da descoberta: O registo de acesso ao contentor do S3 gera um registo que contém registos de acesso para cada pedido feito ao seu contentor do S3. Um registo de acesso contém detalhes sobre o pedido, como o tipo de pedido, os recursos especificados no pedido que funcionaram, e a hora e a data em que o pedido foi processado. Recomenda-se que o registo de acesso ao contentor seja ativado no contentor do S3 do CloudTrail. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: AC-6, AU-12, AU-2 PCI-DSS v4.0: 10.2.1, 10.2.1.1 ISO-27001 v2022: A.8.15 Cloud Controls Matrix 4: DSP-17 SOC2 v2017: CC6.1.1, CC6.1.10, CC6.1.11, CC6.1.12, CC6.1.13, CC6.1.2, CC6.1.3, CC6.1.4, CC6.1.5, CC6.1.6, CC6.1.7, CC6.1.8, CC6.1.9 HIPAA: 164.312(b), 164.312(c)(1), 164.312(c)(2) CIS AWS Foundation 2.0.0: 3.6 CIS AWS Foundation 3.0.0: 3.4 CIS Controls 8.0: 3.14, 8.2	Certifique-se de que o registo de acesso ao contentor do S3 está ativado no contentor do S3 do CloudTrail Análises em tempo real: não
S3 Bucket Logging Enabled Nome da categoria na API: S3_BUCKET_LOGGING_ENABLED	Descrição da descoberta: A funcionalidade de registo de acesso ao servidor do AWS S3 regista os pedidos de acesso aos contentores de armazenamento, o que é útil para auditorias de segurança. Por predefinição, o registo de acesso ao servidor não está ativado para contentores do S3. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: SI-7(8) PCI-DSS v3.2.1: 10.3.1	Verifica se o registo está ativado em todos os contentores do S3 Análises em tempo real: não
S3 Bucket Policy Set Deny Http Requests Nome da categoria na API: S3_BUCKET_POLICY_SET_DENY_HTTP_REQUESTS	Descrição da descoberta: Ao nível do contentor do Amazon S3, pode configurar as autorizações através de uma política de contentor que torna os objetos acessíveis apenas através de HTTPS. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: AC-17, IA-5, SC-8 PCI-DSS v4.0: 2.2.7, 4.1.1, 4.2.1, 4.2.1.2, 4.2.2, 8.3.2 ISO-27001 v2022: A.5.14 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-2 SOC2 v2017: CC6.1.11, CC6.1.3, CC6.1.8, CC6.7.2 HIPAA: 164.312(a)(2)(iv), 164.312(e)(1), 164.312(e)(2)(i), 164.312(e)(2)(ii) CIS AWS Foundation 2.0.0: 2.1.1 CIS AWS Foundation 3.0.0: 2.1.1 CIS Controls 8.0: 3.10	Certifique-se de que a política do contentor do S3 está definida para recusar pedidos HTTP Análises em tempo real: não
S3 Bucket Replication Enabled Nome da categoria na API: S3_BUCKET_REPLICATION_ENABLED	Descrição da descoberta: Este controlo verifica se um contentor do Amazon S3 tem a replicação entre regiões ativada. O controlo falha se o contentor não tiver a replicação entre regiões ativada ou se a replicação na mesma região também estiver ativada. A replicação é a cópia automática e assíncrona de objetos entre contentores na mesma região ou em regiões diferentes da AWS. A replicação copia objetos recém-criados e atualizações de objetos de um contentor de origem para um ou mais contentores de destino. As práticas recomendadas da AWS recomendam a replicação para contentores de origem e destino que pertençam à mesma conta da AWS. Além da disponibilidade, deve considerar outras definições de proteção de sistemas. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: SI-13(5)	Verifica se os contentores do S3 têm a replicação entre regiões ativada Análises em tempo real: não
S3 Bucket Server Side Encryption Enabled Nome da categoria na API: S3_BUCKET_SERVER_SIDE_ENCRYPTION_ENABLED	Descrição da descoberta: Isto verifica se o seu contentor do S3 tem a encriptação predefinida do Amazon S3 ativada ou se a política do contentor do S3 recusa explicitamente pedidos de colocação de objetos sem encriptação do lado do servidor. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: SI-7(6) PCI-DSS v3.2.1: 10.5.2	Certifique-se de que todos os contentores do S3 usam a encriptação em repouso Análises em tempo real: não
S3 Bucket Versioning Enabled Nome da categoria na API: S3_BUCKET_VERSIONING_ENABLED	Descrição da descoberta: O Amazon S3 é um meio de manter várias variantes de um objeto no mesmo contentor e pode ajudar a recuperar mais facilmente de ações não intencionais do utilizador e de falhas da aplicação. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: SI-13(5) PCI-DSS v3.2.1: 10.5.5	Verifica se o controlo de versões está ativado para todos os contentores do S3 Análises em tempo real: não
S3 Default Encryption Kms Nome da categoria na API: S3_DEFAULT_ENCRYPTION_KMS	Descrição da descoberta: Verifica se os contentores do Amazon S3 estão encriptados com o AWS Key Management Service (AWS KMS) Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: SI-7(6)	Verifica se todos os contentores estão encriptados com o KMS Análises em tempo real: não
Sagemaker Notebook Instance Kms Key Configured Nome da categoria na API: SAGEMAKER_NOTEBOOK_INSTANCE_KMS_KEY_CONFIGURED	Descrição da descoberta: Verifica se uma chave do AWS Key Management Service (AWS KMS) está configurada para uma instância de notebook do Amazon SageMaker. A regra é NÃO_EM_CONFORMIDADE se "KmsKeyId" não for especificado para a instância do notebook do SageMaker. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: SI-7(6) PCI-DSS v3.2.1: 8.2.1	Verifica se todas as instâncias de blocos de notas do SageMaker estão configuradas para usar o KMS Análises em tempo real: não
Sagemaker Notebook No Direct Internet Access Nome da categoria na API: SAGEMAKER_NOTEBOOK_NO_DIRECT_INTERNET_ACCESS	Descrição da descoberta: Verifica se o acesso direto à Internet está desativado para uma instância de notebook do SageMaker. Para o fazer, verifica se o campo DirectInternetAccess está desativado para a instância do notebook. Se configurar a sua instância do SageMaker sem uma VPC, o acesso direto à Internet é ativado por predefinição na sua instância. Deve configurar a sua instância com um VPC e alterar a predefinição para Desativar — Aceder à Internet através de um VPC. Para preparar ou alojar modelos a partir de um notebook, precisa de acesso à Internet. Para ativar o acesso à Internet, certifique-se de que a sua VPC tem um gateway NAT e que o seu grupo de segurança permite ligações de saída. Para saber como associar uma instância de notebook a recursos numa VPC, consulte o artigo Connect a notebook instance to resources in a VPC no guia do programador do Amazon SageMaker. Também deve garantir que o acesso à configuração do SageMaker é limitado apenas a utilizadores autorizados. Restrinja as autorizações de IAM dos utilizadores para modificar as definições e os recursos do SageMaker. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: SC-7 PCI-DSS v3.2.1: 2.2.2	Verifica se o acesso direto à Internet está desativado para todas as instâncias de notebooks do Amazon SageMaker Análises em tempo real: não
Secretsmanager Rotation Enabled Check Nome da categoria na API: SECRETSMANAGER_ROTATION_ENABLED_CHECK	Descrição da descoberta: Verifica se um segredo armazenado no AWS Secrets Manager está configurado com rotação automática. O controlo falha se o segredo não estiver configurado com a rotação automática. Se indicar um valor personalizado para o parâmetro maximumAllowedRotationFrequency, o controlo é aprovado apenas se o segredo for alternado automaticamente dentro do período especificado. O Secrets Manager ajuda a melhorar a postura de segurança da sua organização. Os segredos incluem credenciais de bases de dados, palavras-passe e chaves da API de terceiros. Pode usar o Secrets Manager para armazenar segredos de forma centralizada, encriptar segredos automaticamente, controlar o acesso a segredos e alternar segredos de forma segura e automática. O Secrets Manager pode alternar segredos. Pode usar a rotação para substituir segredos de longo prazo por segredos de curto prazo. A rotação dos segredos limita o tempo durante o qual um utilizador não autorizado pode usar um segredo comprometido. Por este motivo, deve alternar os seus segredos frequentemente. Para saber mais sobre a rotação, consulte o artigo Rotating your AWS Secrets Manager secrets no manual do utilizador do AWS Secrets Manager. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: AC-3(15) PCI-DSS v3.2.1: 8.2.4	Verifica se todos os segredos do AWS Secrets Manager têm a rotação ativada Análises em tempo real: não
Sns Encrypted Kms Nome da categoria na API: SNS_ENCRYPTED_KMS	Descrição da descoberta: Verifica se um tópico do SNS está encriptado em repouso através do AWS KMS. Os controlos falham se um tópico do SNS não usar uma chave do KMS para a encriptação do lado do servidor (SSE). A encriptação de dados em repouso reduz o risco de os dados armazenados no disco serem acedidos por um utilizador não autenticado no AWS. Também adiciona outro conjunto de controlos de acesso para limitar a capacidade de utilizadores não autorizados acederem aos dados. Por exemplo, são necessárias autorizações da API para desencriptar os dados antes de poderem ser lidos. Os tópicos do SNS devem ser encriptados em repouso para uma camada adicional de segurança. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: SI-7(6)	Verifica se todos os tópicos do SNS estão encriptados com o KMS Análises em tempo real: não
Vpc Default Security Group Closed Nome da categoria na API: VPC_DEFAULT_SECURITY_GROUP_CLOSED	Descrição da descoberta: Este controlo verifica se o grupo de segurança predefinido de uma VPC permite tráfego de entrada ou saída. O controlo falha se o grupo de segurança permitir tráfego de entrada ou saída. As regras do grupo de segurança predefinido permitem todo o tráfego de saída e entrada de interfaces de rede (e as respetivas instâncias associadas) atribuídas ao mesmo grupo de segurança. Recomendamos que não use o grupo de segurança predefinido. Uma vez que não é possível eliminar o grupo de segurança predefinido, deve alterar a definição das regras do grupo de segurança predefinido para restringir o tráfego de entrada e saída. Isto evita tráfego indesejado se o grupo de segurança predefinido for configurado acidentalmente para recursos como instâncias EC2. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: SC-7 PCI-DSS v3.2.1: 2.2.2 CIS AWS Foundation 3.0.0: 4.14	Certifique-se de que o grupo de segurança predefinido de cada VPC restringe todo o tráfego Análises em tempo real: não
Vpc Flow Logging Enabled All Vpcs Nome da categoria na API: VPC_FLOW_LOGGING_ENABLED_ALL_VPCS	Descrição da descoberta: Os registos de fluxo da VPC são uma funcionalidade que lhe permite captar informações sobre o tráfego IP de e para as interfaces de rede na sua VPC. Depois de criar um registo de fluxo, pode ver e obter os respetivos dados no Amazon CloudWatch Logs. Recomendamos que os registos de fluxo da VPC sejam ativados para "Rejeições" de pacotes para VPCs. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: SI-4, SI-7(8) PCI-DSS v3.2.1: 10.3.1 ISO-27001 v2022: A.8.15, A.8.16 Cloud Controls Matrix 4: IVS-03 NIST Cybersecurity Framework 1.0: DE-CM-1 SOC2 v2017: CC7.2.1, CC7.2.2, CC7.2.3, CC7.2.4 CIS AWS Foundation 2.0.0: 3.9 CIS AWS Foundation 3.0.0: 3.7 CIS Controls 8.0: 13.6, 8.2	Certifique-se de que o registo de fluxo de VPC está ativado em todas as VPCs Análises em tempo real: não
Vpc Sg Open Only To Authorized Ports Nome da categoria na API: VPC_SG_OPEN_ONLY_TO_AUTHORIZED_PORTS	Descrição da descoberta: Este controlo verifica se um grupo de segurança do Amazon EC2 permite tráfego de entrada sem restrições de portas não autorizadas. O estado do controlo é determinado da seguinte forma: Se usar o valor predefinido para authorizedTcpPorts, o controlo falha se o grupo de segurança permitir tráfego de entrada sem restrições de qualquer porta que não as portas 80 e 443. Se fornecer valores personalizados para authorizedTcpPorts ou authorizedUdpPorts, o controlo falha se o grupo de segurança permitir tráfego de entrada sem restrições de qualquer porta não listada. Se não for usado nenhum parâmetro, o controlo falha para qualquer grupo de segurança que tenha uma regra de tráfego de entrada sem restrições. Os grupos de segurança oferecem uma filtragem com estado do tráfego de rede de entrada e saída para a AWS. As regras do grupo de segurança devem seguir o princípio do acesso com menos privilégios. O acesso sem restrições (endereço IP com um sufixo /0) aumenta a oportunidade de atividade maliciosa, como pirataria informática, ataques de negação de serviço e perda de dados. A menos que uma porta seja especificamente permitida, a porta deve recusar o acesso sem restrições. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: SC-7 PCI-DSS v3.2.1: 2.2.2	Verifica se qualquer grupo de segurança com 0.0.0.0/0 de qualquer VPC permite apenas tráfego TCP/UDP de entrada específico Análises em tempo real: não
Both VPC VPN Tunnels Up Nome da categoria na API: VPC_VPN_2_TUNNELS_UP	Descrição da descoberta: Um túnel VPN é um link encriptado através do qual os dados podem passar da rede do cliente para ou a partir da AWS numa ligação VPN AWS Site-to-Site. Cada ligação VPN inclui dois túneis VPN que pode usar em simultâneo para uma elevada disponibilidade. Garantir que ambos os túneis de VPN estão ativos para uma ligação VPN é importante para confirmar uma ligação segura e altamente disponível entre uma AWS VPC e a sua rede remota. Este controlo verifica se ambos os túneis de VPN fornecidos pela VPN AWS Site-to-Site estão no estado UP. O controlo falha se um ou ambos os túneis estiverem no estado DOWN. Nível de preços: Enterprise Corrija esta descoberta O Security Command Center mapeia este detetor para as seguintes normas de conformidade: NIST 800-53 R5: SI-13(5)	Verifica se ambos os túneis de VPN da AWS fornecidos pelo site-to-site da AWS estão no estado UP Análises em tempo real: não

Resultados do serviço AI Discovery na Proteção de IA

Níveis de serviço Standard, Premium e Enterprise (descontinuado)

O serviço de Descoberta de IA é um serviço de deteção na Proteção de IA que identifica componentes e riscos no seu Google Cloud ambiente relacionados com as aplicações de IA.

Conclusão	Resumo
Gemini model detected Nome da categoria na API: GEMINI_MODEL_DETECTED Nome anterior: VERTEX_AI_MODEL_DETECTED Classe de resultados: observação	Descrição da descoberta: foi detetado um modelo de base na Plataforma de agentes do Gemini Enterprise e está protegido pelo Model Armor. Nível de preços: Premium
Gemini model not protected by Model Armor Nome da categoria na API: GEMINI_MODEL_NOT_PROTECTED_BY_MODEL_ARMOR Nome anterior: VERTEX_AI_MODEL_NOT_PROTECTED_BY_MODEL_ARMOR Classe de resultados: vulnerabilidade	Descrição da descoberta: um modelo de fundação do Gemini detetado na Plataforma de agentes do Gemini Enterprise não está protegido pelo Model Armor. Nível de preços: Premium Corrija esta descoberta: Para corrigir esta descoberta, configure o Model Armor para o modelo detetado. Para mais informações, consulte o artigo Crie e faça a gestão de modelos.
Tuned model detected Nome da categoria na API: TUNED_MODEL_DETECTED Nome anterior: VERTEX_1P_TUNED_MODEL_DETECTED Classe de resultados: observação	Descrição da descoberta: foi detetado um modelo de base otimizado na Plataforma de agentes do Gemini Enterprise e está protegido pelo Model Armor. Nível de preços: Premium
Tuned model not protected by Model Armor Nome da categoria na API: TUNED_MODEL_NOT_PROTECTED_BY_MODEL_ARMOR Nome anterior: VERTEX_1P_TUNED_MODEL_NOT_PROTECTED_BY_MODEL_ARMOR Classe de resultados: vulnerabilidade	Descrição da deteção: um modelo otimizado detetado na Plataforma de agentes do Gemini Enterprise não está protegido pelo Model Armor. Nível de preços: Premium Corrija esta descoberta: Para corrigir esta descoberta, configure o Model Armor para o modelo detetado. Para mais informações, consulte o artigo Crie e faça a gestão de modelos.

Reveja as descobertas na Google Cloud consola

1. Na Google Cloud consola, aceda à página Descobertas do Security Command Center.

   Aceder às descobertas

2. Selecione o seu Google Cloud projeto ou organização.
3. Na secção Filtros rápidos, na subsecção Nome a apresentar da origem, selecione AI Discovery Service. Os resultados da consulta de descobertas são atualizados para mostrar apenas as descobertas desta fonte.
4. Para ver os detalhes de uma descoberta específica, clique no nome da descoberta na coluna Categoria. O painel de detalhes da descoberta é aberto e apresenta o separador Resumo.
5. No separador Resumo, reveja os detalhes da descoberta, incluindo informações sobre o que foi detetado, o recurso afetado e, se disponíveis, os passos que pode seguir para corrigir a descoberta.
6. Opcional: para ver a definição JSON completa da descoberta, clique no separador JSON.

Descobertas do Web Security Scanner

Níveis de serviço Standard-legacy, Premium e Enterprise (descontinuado)

As análises personalizadas e geridas do Web Security Scanner identificam os seguintes tipos de descobertas.

As análises personalizadas e geridas do Web Security Scanner identificam os seguintes tipos de descobertas. No nível Standard-legacy, o Web Security Scanner é compatível com análises personalizadas de aplicações implementadas com URLs e IPs públicos que não estão protegidos por uma firewall.

Categoria	A encontrar a descrição	Categoria dos resultados	10 principais OWASP 2017	10 principais OWASP de 2021
Accessible Git repository Nome da categoria na API: ACCESSIBLE_GIT_REPOSITORY	Um repositório Git está exposto publicamente. Para resolver esta descoberta, remova o acesso público não intencional ao repositório Git. Nível de preços: Premium ou Standard Corrija esta descoberta	Vulnerabilidade	A5	A01
Accessible SVN repository Nome da categoria na API: ACCESSIBLE_SVN_REPOSITORY	Um repositório SVN está exposto publicamente. Para resolver esta descoberta, remova o acesso público não intencional ao repositório SVN. Nível de preços: Premium ou Standard Corrija esta descoberta	Vulnerabilidade	A5	A01
Accessible ENV File Nome da categoria na API: ACCESSIBLE_ENV_FILE	Um ficheiro ENV está exposto publicamente. Para resolver esta descoberta, remova o acesso público não intencional ao ficheiro ENV. Nível de preços: Premium ou Standard Corrija esta descoberta	Vulnerabilidade	A5	A01
Cacheable password input Nome da categoria na API: CACHEABLE_PASSWORD_INPUT	As palavras-passe introduzidas na app Web podem ser colocadas em cache numa cache normal do navegador em vez de num armazenamento seguro de palavras-passe. Nível de preços: Premium Corrija esta descoberta	Vulnerabilidade	A3	A04
Clear text password Nome da categoria na API: CLEAR_TEXT_PASSWORD	As palavras-passe estão a ser transmitidas em texto não codificado e podem ser intercetadas. Para resolver esta descoberta, encripte a palavra-passe transmitida através da rede. Nível de preços: Premium ou Standard Corrija esta descoberta	Vulnerabilidade	A3	A02
Insecure allow origin ends with validation Nome da categoria na API: INSECURE_ALLOW_ORIGIN_ENDS_WITH_VALIDATION	Um ponto final HTTP ou HTTPS entre sites valida apenas um sufixo do cabeçalho do pedido Origin antes de o refletir no cabeçalho da resposta Access-Control-Allow-Origin. Para resolver esta descoberta, valide se o domínio raiz esperado faz parte do valor do cabeçalho Origin antes de o refletir no cabeçalho da resposta Access-Control-Allow-Origin. Para carateres universais de subdomínios, adicione o ponto antes do domínio raiz, por exemplo, .endsWith(".google.com"). Nível de preços: Premium Corrija esta descoberta	Vulnerabilidade	A5	A01
Insecure allow origin starts with validation Nome da categoria na API: INSECURE_ALLOW_ORIGIN_STARTS_WITH_VALIDATION	Um ponto final HTTP ou HTTPS entre sites valida apenas um prefixo do cabeçalho do pedido Origin antes de o refletir no cabeçalho da resposta Access-Control-Allow-Origin. Para resolver esta descoberta, valide se o domínio esperado corresponde totalmente ao valor do cabeçalho Origin antes de o refletir no cabeçalho da resposta Access-Control-Allow-Origin, por exemplo, .equals(".google.com"). Nível de preços: Premium Corrija esta descoberta	Vulnerabilidade	A5	A01
Invalid content type Nome da categoria na API: INVALID_CONTENT_TYPE	Foi carregado um recurso que não corresponde ao cabeçalho HTTP Content-Type da resposta. Para resolver esta descoberta, defina o cabeçalho HTTP X-Content-Type-Options com o valor correto. Nível de preços: Premium ou Standard Corrija esta descoberta	Vulnerabilidade	A6	A05
Invalid header Nome da categoria na API: INVALID_HEADER	Um cabeçalho de segurança tem um erro de sintaxe e é ignorado pelos navegadores. Para resolver esta descoberta, defina corretamente os cabeçalhos de segurança HTTP. Nível de preços: Premium ou Standard Corrija esta descoberta	Vulnerabilidade	A6	A05
Mismatching security header values Nome da categoria na API: MISMATCHING_SECURITY_HEADER_VALUES	Um cabeçalho de segurança tem valores duplicados e não correspondentes, o que resulta num comportamento indefinido. Para resolver esta descoberta, defina corretamente os cabeçalhos de segurança HTTP. Nível de preços: Premium ou Standard Corrija esta descoberta	Vulnerabilidade	A6	A05
Misspelled security header name Nome da categoria na API: MISSPELLED_SECURITY_HEADER_NAME	Um cabeçalho de segurança está escrito incorretamente e é ignorado. Para resolver esta descoberta, defina corretamente os cabeçalhos de segurança HTTP. Nível de preços: Premium ou Standard Corrija esta descoberta	Vulnerabilidade	A6	A05
Mixed content Nome da categoria na API: MIXED_CONTENT	Os recursos estão a ser publicados através de HTTP numa página HTTPS. Para resolver esta descoberta, certifique-se de que todos os recursos são publicados através de HTTPS. Nível de preços: Premium ou Standard Corrija esta descoberta	Vulnerabilidade	A6	A05
Outdated library Nome da categoria na API: OUTDATED_LIBRARY	Foi detetada uma biblioteca com vulnerabilidades conhecidas. Para resolver esta descoberta, atualize as bibliotecas para uma versão mais recente. Nível de preços: Premium ou Standard Corrija esta descoberta	Vulnerabilidade	A9	A06
Server side request forgery Nome da categoria na API: SERVER_SIDE_REQUEST_FORGERY	Foi detetada uma vulnerabilidade de falsificação de pedidos do lado do servidor (SSRF). Para resolver esta descoberta, use uma lista de autorizações para limitar os domínios e os endereços IP para os quais a app Web pode fazer pedidos. Nível de preços: Premium ou Standard Corrija esta descoberta	Vulnerabilidade	Não aplicável	A10
Session ID leak Nome da categoria na API: SESSION_ID_LEAK	Ao fazer um pedido entre domínios, a app Web inclui o identificador de sessão do utilizador no respetivo cabeçalho do pedido Referer. Esta vulnerabilidade dá ao domínio de receção acesso ao identificador da sessão, que pode ser usado para roubar a identidade ou identificar de forma exclusiva o utilizador. Nível de preços: Premium Corrija esta descoberta	Vulnerabilidade	A2	A07
SQL injection Nome da categoria na API: SQL_INJECTION	Foi detetada uma potencial vulnerabilidade de injeção SQL. Para resolver esta descoberta, use consultas parametrizadas para impedir que as entradas do utilizador influenciem a estrutura da consulta SQL. Nível de preços: Premium Corrija esta descoberta	Vulnerabilidade	A1	A03
Struts insecure deserialization Nome da categoria na API: STRUTS_INSECURE_DESERIALIZATION	Foi detetada a utilização de uma versão vulnerável do Apache Struts. Para resolver esta descoberta, atualize o Apache Struts para a versão mais recente. Nível de preços: Premium Corrija esta descoberta	Vulnerabilidade	A8	A08
XSS Nome da categoria na API: XSS	Um campo nesta app Web é vulnerável a um ataque de cross-site scripting (XSS). Para resolver esta descoberta, valide e ignore os dados fornecidos pelo utilizador não fidedignos. Nível de preços: Premium ou Standard Corrija esta descoberta	Vulnerabilidade	A7	A03
XSS angular callback Nome da categoria na API: XSS_ANGULAR_CALLBACK	Uma string fornecida pelo utilizador não é ignorada e o AngularJS pode interpolá-la. Para resolver esta descoberta, valide e escape os dados fornecidos pelo utilizador não fidedignos processados pela framework Angular. Nível de preços: Premium ou Standard Corrija esta descoberta	Vulnerabilidade	A7	A03
XSS error Nome da categoria na API: XSS_ERROR	Um campo nesta app Web é vulnerável a um ataque de cross-site scripting. Para resolver esta descoberta, valide e ignore os dados fornecidos pelo utilizador não fidedignos. Nível de preços: Premium ou Standard Corrija esta descoberta	Vulnerabilidade	A7	A03
XXE reflected file leakage Nome da categoria na API: XXE_REFLECTED_FILE_LEAKAGE	Foi detetada uma vulnerabilidade de entidade externa XML (XXE). Esta vulnerabilidade pode fazer com que a app Web divulgue um ficheiro no anfitrião. Para resolver esta descoberta, configure os analisadores XML para não permitirem entidades externas. Nível de preços: Premium Corrija esta descoberta	Vulnerabilidade	A4	A05
Prototype pollution Nome da categoria na API: PROTOTYPE_POLLUTION	A aplicação é vulnerável à poluição de protótipos. Esta vulnerabilidade surge quando as propriedades do objeto Object.prototype podem ser atribuídas a valores controláveis pelo atacante. Assume-se universalmente que os valores implantados nestes protótipos se traduzem em cross-site scripting ou vulnerabilidades semelhantes do lado do cliente, bem como erros lógicos. Nível de preços: Premium ou Standard Corrija esta descoberta	Vulnerabilidade	A1	A03
Hsts Misconfiguration Nome da categoria na API: HSTS_MISCONFIGURATION	Foi detetado um cabeçalho HTTP Strict Transport Security (HSTS) mal configurado. Para reduzir significativamente o risco de ataques de alteração para versões inferiores e de escutas em ligações HTTP, resolva o cabeçalho HSTS configurado incorretamente. Os cabeçalhos HSTS forçam as ligações através de canais encriptados (TLS) para que as ligações HTTP em texto simples falhem. Saiba mais sobre os cabeçalhos HSTS Nível de preços: Premium Corrija esta descoberta	Erro de configuração	Não aplicável	Não aplicável
Content Security Policy Header Missing Nome da categoria na API: CSP_MISSING	Foi detetada a falta de um cabeçalho da resposta HTTP da Política de Segurança de Conteúdos (CSP). Os cabeçalhos CSP mitigam a exploração de vulnerabilidades comuns da Web, em particular o cross-site scripting XSS, impedindo o carregamento de scripts ou plug-ins não fidedignos. Recomenda-se um cabeçalho de CSP rigoroso. Saiba mais sobre os cabeçalhos CSP Nível de preços: Premium Corrija esta descoberta	Erro de configuração	Não aplicável	Não aplicável
Content Security Policy Header Misconfigured Nome da categoria na API: CSP_MISCONFIGURATION	Foi detetado um cabeçalho da resposta HTTP da Política de Segurança de Conteúdos (CSP) configurado incorretamente. Os cabeçalhos CSP mitigam a exploração de vulnerabilidades comuns da Web, em particular o cross-site scripting XSS, impedindo o carregamento de scripts ou plug-ins não fidedignos. Recomenda-se um cabeçalho de CSP rigoroso. Saiba mais sobre os cabeçalhos da CSP Nível de preços: Premium Corrija esta descoberta	Erro de configuração	Não aplicável	Não aplicável
Cross-Origin-Opener-Policy Header Missing Nome da categoria na API: COOP_MISSING	Foi detetado um cabeçalho HTTP Cross-Origin-Opener-Policy (COOP) em falta. A COOP é um mecanismo de segurança Web que impede que uma página aberta numa nova janela aceda às propriedades da respetiva página de origem. A COOP oferece uma forte camada de proteção contra ataques Web comuns. Nível de preços: Premium Corrija esta descoberta	Erro de configuração	Não aplicável	Não aplicável
Clickjacking Protection Missing Nome da categoria na API: CLICKJACKING_PROTECTION_MISSING	Foi detetado um cabeçalho da resposta em falta. Para evitar o clickjacking, implemente um cabeçalho de resposta HTTP, como um X-Frame-Option (XFO) ou Content-Security-Policy (CSP). O clickjacking (também denominado UI Redress) é um ataque Web em que os atacantes modificam a interface de um Website alvo para que as vítimas não se apercebam de que estão a realizar uma ação importante. Recomenda-se a implementação de um cabeçalho de resposta HTTP: os cabeçalhos XFO são fáceis de usar; os cabeçalhos CSP oferecem mais flexibilidade. – Saiba mais sobre os cabeçalhos XFO – Saiba mais sobre os cabeçalhos CSP Nível de preços: Premium Corrija esta descoberta	Erro de configuração	Não aplicável	Não aplicável

Resultados do Security Scanner do Notebook

Pré-visualizar

Esta funcionalidade está sujeita aos "Termos de Ofertas de Pré-DG" na secção Termos de Serviço Gerais dos Termos Específicos do Serviço. As funcionalidades pré-GA estão disponíveis "tal como estão" e podem ter apoio técnico limitado. Para mais informações, consulte as descrições das fases de lançamento.

Níveis de serviço Premium e Enterprise (descontinuado)

O Notebook Security Scanner deteta vulnerabilidades relacionadas com os pacotes Python que são usados nos seus notebooks do Colab Enterprise e publica-as na categoria Vulnerabilidade do pacote.

Uma descoberta de vulnerabilidade de pacote mostra os detalhes da versão de um pacote que tem vulnerabilidades conhecidas. Uma determinada versão de um pacote Python pode ter várias descobertas de vulnerabilidades do pacote, cada uma correspondente a uma vulnerabilidade conhecida diferente.

Para resolver uma descoberta de vulnerabilidade de pacote, tem de usar uma versão diferente do pacote, conforme recomendado na secção Passos seguintes da descoberta.

Para mais informações, consulte o artigo Ative e use o Notebook Security Scanner.

Descobertas do Recomendador de IAM

Níveis de serviço Standard-legacy, Standard, Premium e Enterprise (descontinuado)

A tabela seguinte apresenta as descobertas do Security Command Center geradas pelo Recomendador do IAM.

Cada descoberta do recomendador de IAM contém recomendações específicas para remover ou substituir uma função que inclua autorizações excessivas de um principal no seu Google Cloud ambiente.

As descobertas geradas pelo Recomendador do IAM correspondem às recomendações apresentadas na Google Cloud consola na página do IAM do projeto, da pasta ou da organização afetados.

Para mais informações sobre a integração do recomendador de IAM com o Security Command Center, consulte o artigo Fontes de segurança.

Detetor	Resumo
IAM role has excessive permissions Nome da categoria na API: IAM_ROLE_HAS_EXCESSIVE_PERMISSIONS	Descrição da descoberta: o recomendador de IAM detetou uma conta de serviço que tem uma ou mais funções de IAM que dão autorizações excessivas à conta de utilizador. Nível de preços: Premium Recursos compatíveis: google.cloud.resourcemanager.Project google.cloud.resourcemanager.Folder google.cloud.resourcemanager.Organization Corrija esta descoberta : Siga estes passos para usar o Recomendador de IAM para aplicar a correção recomendada para esta descoberta: Na secção Passos seguintes dos detalhes da descoberta na Google Cloud consola, copie e cole o URL da página IAM na barra de endereço de um navegador e prima Enter. A página IAM é carregada. Junto à parte superior da página IAM, no lado direito, clique em Ver recomendações na tabela. As recomendações são apresentadas numa tabela. Na coluna Informações de segurança, clique em qualquer recomendação relacionada com autorizações excessivas. É apresentado o painel de detalhes da recomendação. Reveja a recomendação para saber que ações pode realizar para resolver o problema. Clique em Aplicar. Depois de o problema ser corrigido, o Recomendador do IAM atualiza o estado da descoberta para INACTIVE no prazo de 10 dias.
Service agent role replaced with basic role Nome da categoria na API: SERVICE_AGENT_ROLE_REPLACED_WITH_BASIC_ROLE	Descrição da descoberta: o recomendador de IAM detetou que a função de IAM predefinida original concedida a um agente de serviço foi substituída por uma das funções de IAM básicas: Proprietário, Editor ou Leitor. As funções básicas são funções antigas excessivamente permissivas e não devem ser concedidas a agentes de serviço. Nível de preços: Premium Recursos compatíveis: google.cloud.resourcemanager.Project google.cloud.resourcemanager.Folder google.cloud.resourcemanager.Organization Corrija esta descoberta : Siga estes passos para usar o Recomendador de IAM para aplicar a correção recomendada para esta descoberta: Na secção Passos seguintes dos detalhes da descoberta na Google Cloud consola, copie e cole o URL da página IAM na barra de endereço de um navegador e prima Enter. A página IAM é carregada. Junto à parte superior da página IAM, no lado direito, clique em Ver recomendações na tabela. As recomendações são apresentadas numa tabela. Na coluna Informações de segurança, clique em qualquer autorização relacionada com autorizações excessivas. É apresentado o painel de detalhes da recomendação. Reveja as autorizações em excesso. Clique em Aplicar. Depois de o problema ser corrigido, o Recomendador do IAM atualiza o estado da descoberta para INACTIVE no prazo de 10 dias.
Service agent granted basic role Nome da categoria na API: SERVICE_AGENT_GRANTED_BASIC_ROLE	Descrição da descoberta: O recomendador de IAM detetou que foi concedida a um agente de serviço uma das funções básicas de IAM: Proprietário, Editor ou Leitor. As funções básicas são funções antigas excessivamente permissivas e não devem ser concedidas a agentes de serviço. Nível de preços: Premium Recursos compatíveis: google.cloud.resourcemanager.Project google.cloud.resourcemanager.Folder google.cloud.resourcemanager.Organization Corrija esta descoberta : Siga estes passos para usar o Recomendador de IAM para aplicar a correção recomendada para esta descoberta: Na secção Passos seguintes dos detalhes da descoberta na Google Cloud consola, copie e cole o URL da página IAM na barra de endereço de um navegador e prima Enter. A página IAM é carregada. Junto à parte superior da página IAM, no lado direito, clique em Ver recomendações na tabela. As recomendações são apresentadas numa tabela. Na coluna Informações de segurança, clique em qualquer autorização relacionada com autorizações excessivas. É apresentado o painel de detalhes da recomendação. Reveja as autorizações em excesso. Clique em Aplicar. Depois de o problema ser corrigido, o Recomendador do IAM atualiza o estado da descoberta para INACTIVE no prazo de 10 dias.
Unused IAM role Nome da categoria na API: UNUSED_IAM_ROLE	Descrição da descoberta: o recomendador de IAM detetou uma conta de utilizador que tem uma função de IAM que não foi usada nos últimos 90 dias. Nível de preços: Premium Recursos compatíveis: google.cloud.resourcemanager.Project google.cloud.resourcemanager.Folder google.cloud.resourcemanager.Organization Corrija esta descoberta : Siga estes passos para usar o Recomendador de IAM para aplicar a correção recomendada para esta descoberta: Na secção Passos seguintes dos detalhes da descoberta na Google Cloud consola, copie e cole o URL da página IAM na barra de endereço de um navegador e prima Enter. A página IAM é carregada. Junto à parte superior da página IAM, no lado direito, clique em Ver recomendações na tabela. As recomendações são apresentadas numa tabela. Na coluna Informações de segurança, clique em qualquer autorização relacionada com autorizações excessivas. É apresentado o painel de detalhes da recomendação. Reveja as autorizações em excesso. Clique em Aplicar. Depois de o problema ser corrigido, o Recomendador do IAM atualiza o estado da descoberta para INACTIVE no prazo de 10 dias.

Resultados da CIEM

Nível de serviço Enterprise (descontinuado)

A tabela seguinte apresenta as descobertas de identidade e acesso do Security Command Center para a AWS e o Microsoft Azure que são geradas pela Gestão de direitos da infraestrutura na nuvem (CIEM). Para ver as descobertas geradas pela Gestão de direitos de infraestrutura na nuvem (CIEM) para Google Cloud, consulte as descobertas do recomendador de IAM.

As descobertas da CIEM contêm recomendações específicas para remover ou substituir políticas de gestão de identidade e de acesso altamente permissivas (geralmente denominadas IAM) associadas a identidades, utilizadores ou grupos assumidos nos seus ambientes da AWS e do Microsoft Azure.

Para mais informações sobre a CIEM, consulte o artigo Vista geral da gestão de concessões de infraestruturas na nuvem.

Detetor	Resumo
Assumed identity has excessive permissions Nome da categoria na API: ASSUMED_IDENTITY_HAS_EXCESSIVE_PERMISSIONS	Descrição da descoberta: no seu ambiente AWS ou Microsoft Azure, a CIEM detetou uma função de IAM assumida que tem uma política altamente permissiva que viola o princípio do menor privilégio e aumenta os riscos de segurança. Esta descoberta baseia-se nos registos de utilização mais recentes dos últimos 83 a 90 dias. Nível de preços: Enterprise Corrija esta descoberta : Consoante a descoberta, use as ferramentas da AWS ou do Microsoft Azure para realizar uma das seguintes tarefas de remediação: Remova a política altamente permissiva. Crie uma nova política que tenha as autorizações mínimas necessárias para o utilizador, o grupo ou a função. Em seguida, anexe a nova política ao utilizador, grupo ou função e remova a política altamente permissiva. Consulte os detalhes da descoberta para ver passos de remediação específicos.
Group has excessive permissions Nome da categoria na API: GROUP_HAS_EXCESSIVE_PERMISSIONS	Descrição da descoberta: no seu ambiente do AWS ou Microsoft Azure, a CIEM detetou um grupo que tem uma ou mais políticas altamente permissivas que violam o princípio do menor privilégio e aumentam os riscos de segurança. Esta descoberta baseia-se nos registos de utilização mais recentes dos últimos 83 a 90 dias. Nível de preços: Enterprise Corrija esta descoberta : Consoante a descoberta, use as ferramentas da AWS ou do Microsoft Azure para realizar uma das seguintes tarefas de remediação: Remova a política altamente permissiva. Crie uma nova política que tenha as autorizações mínimas necessárias para o utilizador, o grupo ou a função. Em seguida, anexe a nova política ao utilizador, grupo ou função e remova a política altamente permissiva. Consulte os detalhes da descoberta para ver passos de remediação específicos.
User has excessive permissions Nome da categoria na API: USER_HAS_EXCESSIVE_PERMISSIONS	Descrição da descoberta: no seu ambiente AWS ou Microsoft Azure, a CIEM detetou um utilizador que tem uma ou mais políticas altamente permissivas que violam o princípio do menor privilégio e aumentam os riscos de segurança. Esta descoberta baseia-se nos registos de utilização mais recentes dos últimos 83 a 90 dias. Nível de preços: Enterprise Corrija esta descoberta : Consoante a descoberta, use as ferramentas da AWS ou do Microsoft Azure para realizar uma das seguintes tarefas de remediação: Remova a política altamente permissiva. Crie uma nova política que tenha as autorizações mínimas necessárias para o utilizador, o grupo ou a função. Em seguida, anexe a nova política ao utilizador, grupo ou função e remova a política altamente permissiva. Consulte os detalhes da descoberta para ver passos de remediação específicos.
User is inactive Nome da categoria na API: INACTIVE_USER	Descrição da descoberta: no seu ambiente do AWS ou Microsoft Azure, a CIEM detetou um utilizador inativo com uma ou mais autorizações. Isto viola o princípio do menor privilégio e aumenta os riscos de segurança. Esta descoberta baseia-se nos registos de utilização mais recentes dos últimos 83 a 90 dias. Nível de preços: Enterprise Corrija esta descoberta : Consoante a descoberta, realize uma das seguintes tarefas de remediação: Use as ferramentas da AWS ou do Microsoft Azure para remover as autorizações atribuídas ao utilizador. Elimine o utilizador se tiver a certeza de que já não precisa da identidade. Consulte os detalhes da descoberta para ver passos de remediação específicos.
Group is inactive Nome da categoria na API: INACTIVE_GROUP	Descrição da descoberta: no seu ambiente AWS ou Microsoft Azure, a CIEM detetou que um grupo inativo tem uma ou mais autorizações. Isto viola o princípio do menor privilégio e aumenta os riscos de segurança. Esta descoberta baseia-se nos registos de utilização mais recentes dos últimos 83 a 90 dias. Nível de preços: Enterprise Corrija esta descoberta : Consoante a descoberta, realize uma das seguintes tarefas de remediação: Use as ferramentas da AWS ou do Microsoft Azure para remover as políticas associadas ao grupo. Elimine alguns ou todos os utilizadores que compõem o grupo se tiver a certeza de que estas identidades já não são necessárias. Consulte os detalhes da descoberta para ver passos de remediação específicos.
Assumed identity is inactive Nome da categoria na API: INACTIVE_ASSUMED_IDENTITY	Descrição da descoberta: no seu ambiente AWS ou Microsoft Azure, o CIEM detetou uma função de IAM assumida que está inativa e tem uma ou mais autorizações. Isto viola o princípio do menor privilégio e aumenta os riscos de segurança. Esta descoberta baseia-se nos registos de utilização mais recentes dos últimos 83 a 90 dias. Nível de preços: Enterprise Corrija esta descoberta : Consoante a descoberta, realize uma das seguintes tarefas de remediação: Use as ferramentas da AWS ou do Microsoft Azure para remover as políticas associadas à função de IAM. Elimine a identidade assumida se tiver a certeza de que a identidade já não é necessária. Consulte os detalhes da descoberta para ver passos de remediação específicos.
Overly permissive trust policy enforced on assumed identity Nome da categoria na API: OVERLY_PERMISSIVE_TRUST_POLICY_ENFORCED_ON_ASSUMED_IDENTITY	Descrição da deteção: no seu ambiente da AWS ou do Microsoft Azure, a CIEM detetou uma política de confiança excessivamente permissiva aplicada a uma função de IAM que viola o princípio do menor privilégio e aumenta os riscos de segurança. Esta descoberta baseia-se nos registos de utilização mais recentes dos últimos 83 a 90 dias. Nível de preços: Enterprise Corrija esta descoberta : Use as ferramentas da AWS ou do Microsoft Azure para editar as autorizações na política de fidedignidade aplicada à função para cumprir o princípio do menor privilégio. Consulte os detalhes da descoberta para ver passos de remediação específicos.
Assumed identity has lateral movement risk Nome da categoria na API: ASSUMED_IDENTITY_HAS_LATERAL_MOVEMENT_RISK	Descrição da descoberta: no seu ambiente AWS ou Microsoft Azure, a CIEM detetou uma ou mais identidades que podem mover-se lateralmente através do roubo de identidade. Esta descoberta baseia-se nos registos de utilização mais recentes dos últimos 83 a 90 dias. Nível de preços: Enterprise Corrija esta descoberta : Use as ferramentas da AWS ou do Microsoft Azure para remover as políticas associadas às identidades que permitem o movimento lateral. Consulte os detalhes da descoberta para ver passos de remediação específicos.

Resultados da gestão da postura de segurança de dados

Níveis de serviço Standard, Premium e Enterprise (descontinuado) (requer ativação ao nível da organização)

Os controlos na nuvem da postura de segurança dos dados são as descobertas que a gestão da postura de segurança dos dados (DSPM) gera quando existem violações das regras de controlo na nuvem. Para ver informações sobre os controlos na nuvem, consulte o artigo Controlos na nuvem de segurança de dados.

Resultados da exposição externa

Níveis de serviço Premium e Enterprise (descontinuados)

A Exposição externa cria descobertas da classe EXTERNAL_EXPOSURE que identificam endereços IP externos e serviços expostos que são acessíveis a partir da Internet pública.

Para mais informações sobre estas descobertas, consulte o artigo Detete recursos expostos.

Estas descobertas são geradas nas seguintes categorias detalhadas de risco e exposição:

• EXTERNALLY_EXPOSED_UI: identifica painéis administrativos, painéis de controlo ou consolas de gestão acessíveis publicamente (como Jupyter Notebooks ou painéis de controlo do Kubernetes).
• EXTERNALLY_EXPOSED_API: identifica APIs de pontos finais expostas e não autenticadas.
• EXTERNALLY_EXPOSED_WEAK_CREDENTIALS: identifica portas ou serviços expostos aos quais é possível aceder através de credenciais predefinidas ou fracas e fáceis de adivinhar.
• EXTERNALLY_EXPOSED_RCE_VULNERABILITY: identifica endpoints expostos com vulnerabilidades de execução remota de código (RCE) validadas ativamente.
• EXTERNALLY_EXPOSED_ARBITRARY_DATA_READ: identifica vulnerabilidades que permitem a um atacante ler ficheiros ou dados arbitrários do sistema.
• EXTERNALLY_EXPOSED_VM_INSTANCE: identifica recursos do Compute Engine ou do Google Kubernetes Engine (GKE) com um endereço IP público direto que permite o acesso ao SO anfitrião.
• EXTERNALLY_EXPOSED_SERVERLESS_WORKLOAD: identifica cargas de trabalho do Cloud Run expostas.
• EXTERNALLY_EXPOSED_DATABASE: identifica instâncias de bases de dados diretamente acessíveis (como o Cloud SQL ou o AlloyDB para PostgreSQL).
• EXTERNALLY_EXPOSED_SERVICE_VIA_LOAD_BALANCER: identifica as cargas de trabalho de back-end com balanceadores de carga externos, nginx-ingress ou gateways Istio.
• EXTERNALLY_EXPOSED_STORAGE_VIA_LOAD_BALANCER: identifica contentores de back-end do Cloud Storage expostos diretamente atrás do Cloud Load Balancing, ignorando a autorização normal da gestão de identidade e de acesso (IAM).

Resultados do serviço de postura de segurança

Níveis de serviço Premium e Enterprise (descontinuados) (requer ativação ao nível da organização)

Esta secção apresenta as descobertas do Security Command Center geradas pelo serviço de postura de segurança.

O serviço de postura de segurança gera os seguintes conjuntos de categorias de descobertas:

• Desvio de uma postura de segurança implementada
• Recurso que viola uma postura de segurança implementada

Desvio de uma postura de segurança implementada

A tabela seguinte apresenta as descobertas da postura de segurança que identificam uma instância de desvio da sua postura de segurança definida.

Conclusão	Resumo
SHA Canned Module Drifted Nome da categoria na API: SECURITY_POSTURE_DETECTOR_DRIFT	Descrição da descoberta: o serviço de postura de segurança detetou uma alteração num detetor da Análise de estado de segurança que ocorreu fora de uma atualização da postura. Nível de preços: Premium Corrija esta descoberta : Esta descoberta requer que aceite ou reverta a alteração para que as definições do detetor na sua postura e ambiente correspondam. Tem duas opções para resolver esta descoberta: pode atualizar o detetor do Security Health Analytics ou pode atualizar a postura e a implementação da postura. Para reverter a alteração, atualize o detetor do Security Health Analytics na Google Cloud consola. Para ver instruções, consulte o artigo Ative e desative detetores. Para aceitar a alteração, faça o seguinte: Atualize o ficheiro posture.yaml com a alteração. Execute o comando gcloud scc postures update. Para ver instruções, consulte o artigo Atualize as definições de políticas numa postura. Implemente a postura atualizada com o novo ID de revisão. Para ver instruções, consulte o artigo Atualize uma implementação de postura.
SHA Custom Module Drifted Nome da categoria na API: SECURITY_POSTURE_DETECTOR_DRIFT	Descrição da descoberta: o serviço de postura de segurança detetou uma alteração num módulo personalizado do Security Health Analytics que ocorreu fora de uma atualização da postura. Nível de preços: Premium Corrija esta descoberta : Esta descoberta requer que aceite ou reverta a alteração para que as definições do módulo personalizado na sua postura e ambiente correspondam. Tem duas opções para resolver esta descoberta: pode atualizar o módulo personalizado do Security Health Analytics ou pode atualizar a postura e a implementação da postura. Para reverter a alteração, atualize o módulo personalizado do Security Health Analytics na Google Cloud consola. Para ver instruções, consulte o artigo Atualize um módulo personalizado. Para aceitar a alteração, faça o seguinte: Atualize o ficheiro posture.yaml com a alteração. Execute o comando gcloud scc postures update. Para ver instruções, consulte o artigo Atualize as definições de políticas numa postura. Implemente a postura atualizada com o novo ID de revisão. Para ver instruções, consulte o artigo Atualize uma implementação de postura.
SHA Custom Module Deleted Nome da categoria na API: SECURITY_POSTURE_DETECTOR_DELETE	Descrição da descoberta: o serviço de postura de segurança detetou que um módulo personalizado do Security Health Analytics foi eliminado. Esta eliminação ocorreu fora de uma atualização da postura. Nível de preços: Premium Corrija esta descoberta : Esta descoberta requer que aceite ou reverta a alteração para que as definições do módulo personalizado na sua postura e ambiente correspondam. Tem duas opções para resolver esta descoberta: pode atualizar o módulo personalizado do Security Health Analytics ou pode atualizar a postura e a implementação da postura. Para reverter a alteração, atualize o módulo personalizado do Security Health Analytics na Google Cloud consola. Para ver instruções, consulte o artigo Atualize um módulo personalizado. Para aceitar a alteração, faça o seguinte: Atualize o ficheiro posture.yaml com a alteração. Execute o comando gcloud scc postures update. Para ver instruções, consulte o artigo Atualize as definições de políticas numa postura. Implemente a postura atualizada com o novo ID de revisão. Para ver instruções, consulte o artigo Atualize uma implementação de postura.
Org Policy Canned Constraint Drifted Nome da categoria na API: SECURITY_POSTURE_POLICY_DRIFT	Descrição da deteção: o serviço de postura de segurança detetou uma alteração a uma Política da Organização que ocorreu fora de uma atualização da postura. Nível de preços: Premium Corrija esta descoberta : Esta descoberta requer que aceite ou reverta a alteração para que as definições da política da organização na sua postura e ambiente correspondam. Tem duas opções para resolver esta descoberta: pode atualizar a política da organização ou pode atualizar a postura e a implementação da postura. Para reverter a alteração, atualize a política da organização na Google Cloud consola. Para ver instruções, consulte o artigo Criar e editar políticas. Para aceitar a alteração, faça o seguinte: Atualize o ficheiro posture.yaml com a alteração. Execute o comando gcloud scc postures update. Para ver instruções, consulte o artigo Atualize as definições de políticas numa postura. Implemente a postura atualizada com o novo ID de revisão. Para ver instruções, consulte o artigo Atualize uma implementação de postura.
Org Policy Canned Constraint Deleted Nome da categoria na API: SECURITY_POSTURE_POLICY_DELETE	Descrição da descoberta: o serviço de postura de segurança detetou que uma política da organização foi eliminada. Esta eliminação ocorreu fora de uma atualização da postura. Nível de preços: Premium Corrija esta descoberta : Esta descoberta requer que aceite ou reverta a alteração para que as definições da política da organização na sua postura e ambiente correspondam. Tem duas opções para resolver esta descoberta: pode atualizar a política da organização ou pode atualizar a postura e a implementação da postura. Para reverter a alteração, atualize a política da organização na Google Cloud consola. Para ver instruções, consulte o artigo Criar e editar políticas. Para aceitar a alteração, faça o seguinte: Atualize o ficheiro posture.yaml com a alteração. Execute o comando gcloud scc postures update. Para ver instruções, consulte o artigo Atualize as definições de políticas numa postura. Implemente a postura atualizada com o novo ID de revisão. Para ver instruções, consulte o artigo Atualize uma implementação de postura.
Org Policy Custom Constraint Drifted Nome da categoria na API: SECURITY_POSTURE_POLICY_DRIFT	Descrição da deteção: o serviço de postura de segurança detetou uma alteração a uma política da organização personalizada que ocorreu fora de uma atualização da postura. Nível de preços: Premium Corrija esta descoberta : Esta descoberta requer que aceite ou reverta a alteração para que as definições da política da organização personalizada na sua postura e no seu ambiente correspondam. Tem duas opções para resolver esta descoberta: pode atualizar a política da organização personalizada ou pode atualizar a postura e a implementação da postura. Para reverter a alteração, atualize a política da organização personalizada na Google Cloud consola. Para ver instruções, consulte o artigo Atualize uma restrição personalizada. Para aceitar a alteração, faça o seguinte: Atualize o ficheiro posture.yaml com a alteração. Execute o comando gcloud scc postures update. Para ver instruções, consulte o artigo Atualize as definições de políticas numa postura. Implemente a postura atualizada com o novo ID de revisão. Para ver instruções, consulte o artigo Atualize uma implementação de postura.
Org Policy Custom Constraint Deleted Nome da categoria na API: SECURITY_POSTURE_POLICY_DELETE	Descrição da deteção: o serviço de postura de segurança detetou que uma política da organização personalizada foi eliminada. Esta eliminação ocorreu fora de uma atualização da postura. Nível de preços: Premium Corrija esta descoberta : Esta descoberta requer que aceite ou reverta a alteração para que as definições da política da organização personalizada na sua postura e no seu ambiente correspondam. Tem duas opções para resolver esta descoberta: pode atualizar a política da organização personalizada ou pode atualizar a postura e a implementação da postura. Para reverter a alteração, atualize a política da organização personalizada na Google Cloud consola. Para ver instruções, consulte o artigo Atualize uma restrição personalizada. Para aceitar a alteração, faça o seguinte: Atualize o ficheiro posture.yaml com a alteração. Execute o comando gcloud scc postures update. Para ver instruções, consulte o artigo Atualize as definições de políticas numa postura. Implemente a postura atualizada com o novo ID de revisão. Para ver instruções, consulte o artigo Atualize uma implementação de postura.

Recurso que viola uma postura de segurança implementada

O serviço de postura de segurança e o Security Health Analytics geram as seguintes descobertas, que identificam instâncias de recursos que violam a sua postura de segurança definida.

Conclusão	Resumo
Disable VPC External IPv6 Nome da categoria na API: DISABLE_VPC_EXTERNAL_IP_V6_ORG_POLICY	Descrição da descoberta: o serviço de postura de segurança detetou que uma sub-rede tem um endereço IPv6 externo ativado. Nível de preços: Premium Corrija esta descoberta : Tem duas opções para resolver esta descoberta: pode eliminar o recurso em violação ou pode atualizar a postura e implementá-la novamente. Para eliminar o recurso, conclua os seguintes passos: Abra o resumo da descoberta. Verifique a secção do recurso afetado e encontre o nome completo do recurso que está a violar a política de postura. Clique no nome completo do recurso para abrir os respetivos detalhes. Elimine o recurso. Se quiser manter o recurso na mesma configuração, tem de atualizar a postura. Para atualizar a postura, conclua os seguintes passos: Atualize o ficheiro posture.yaml com a alteração. Execute o comando gcloud scc postures update. Para ver instruções, consulte o artigo Atualize as definições de políticas numa postura. Implemente a postura atualizada com o novo ID de revisão. Para ver instruções, consulte o artigo Atualize uma implementação de postura.
Disable VPC Internal IPv6 Nome da categoria na API: DISABLE_VPC_INTERNAL_IP_V6_ORG_POLICY	Descrição da deteção: o serviço de postura de segurança detetou que uma sub-rede tem um endereço IPv6 interno ativado. Nível de preços: Premium Corrija esta descoberta : Tem duas opções para resolver esta descoberta: pode eliminar o recurso em violação ou pode atualizar a postura e implementá-la novamente. Para eliminar o recurso, conclua os seguintes passos: Abra o resumo da descoberta. Verifique a secção do recurso afetado e encontre o nome completo do recurso que está a violar a política de postura. Clique no nome completo do recurso para abrir os respetivos detalhes. Elimine o recurso. Se quiser manter o recurso na mesma configuração, tem de atualizar a postura. Para atualizar a postura, conclua os seguintes passos: Atualize o ficheiro posture.yaml com a alteração. Execute o comando gcloud scc postures update. Para ver instruções, consulte o artigo Atualize as definições de políticas numa postura. Implemente a postura atualizada com o novo ID de revisão. Para ver instruções, consulte o artigo Atualize uma implementação de postura.
Require OS Login Nome da categoria na API: REQUIRE_OS_LOGIN_ORG_POLICY	Descrição da descoberta: o serviço de postura de segurança detetou que o Início de sessão do SO está desativado numa instância de VM. Nível de preços: Premium Corrija esta descoberta : Tem duas opções para resolver esta descoberta: pode atualizar o recurso em violação ou pode atualizar a postura e voltar a implementá-la. Para atualizar o recurso, conclua os seguintes passos: Abra o resumo da descoberta. Verifique a secção do recurso afetado e encontre o nome completo do recurso que está a violar a política de postura. Clique no nome completo do recurso para abrir os respetivos detalhes. Edite o recurso. Encontre a secção de metadados e altere a entrada com a chave enable-oslogin para TRUE. Guarde o recurso. Se quiser manter o recurso na mesma configuração, tem de atualizar a postura. Para atualizar a postura, conclua os seguintes passos: Atualize o ficheiro posture.yaml com a alteração. Execute o comando gcloud scc postures update. Para ver instruções, consulte o artigo Atualize as definições de políticas numa postura. Implemente a postura atualizada com o novo ID de revisão. Para ver instruções, consulte o artigo Atualize uma implementação de postura.
Restrict Authorized Networks Nome da categoria na API: RESTRICT_AUTHORIZED_NETWORKS_ORG_POLICY	Descrição da descoberta: o serviço de postura de segurança detetou que uma rede autorizada foi adicionada a uma instância SQL. Nível de preços: Premium Corrija esta descoberta : Esta descoberta requer que corrija a violação ou atualize a postura. Tem duas opções para resolver esta descoberta: pode atualizar o recurso em violação ou pode atualizar a postura e voltar a implementá-la. Para atualizar o recurso, conclua os seguintes passos: Abra o resumo da descoberta. Verifique a secção do recurso afetado e encontre o nome completo do recurso que está a violar a política de postura. Clique no nome completo do recurso para abrir os respetivos detalhes. Edite o recurso. Encontre a secção de rede autorizada na secção de ligações e elimine todas as respetivas entradas. Guarde o recurso. Se quiser manter o recurso na mesma configuração, tem de atualizar a postura. Para atualizar a postura, conclua os seguintes passos: Atualize o ficheiro posture.yaml com a alteração. Execute o comando gcloud scc postures update. Para ver instruções, consulte o artigo Atualize as definições de políticas numa postura. Implemente a postura atualizada com o novo ID de revisão. Para ver instruções, consulte o artigo Atualize uma implementação de postura.
Require VPC Connector Nome da categoria na API: REQUIRE_VPC_CONNECTOR_ORG_POLICY	Descrição da descoberta: o serviço de postura de segurança detetou que um conetor de VPC não está ativado para uma instância de função do Cloud Run. Nível de preços: Premium Corrija esta descoberta : Tem duas opções para resolver esta descoberta: pode atualizar o recurso em violação ou pode atualizar a postura e voltar a implementá-la. Para atualizar o recurso, conclua os seguintes passos: Abra o resumo da descoberta. Verifique a secção do recurso afetado e encontre o nome completo do recurso que está a violar a política de postura. Clique no nome completo do recurso para abrir os respetivos detalhes. Clique em Edit. Clique no separador Associações. Encontre a secção Definições de saída. No menu Rede, selecione um conetor de VPC adequado. Clicar em Seguinte. Clique em Implementar. Se quiser manter o recurso na mesma configuração, tem de atualizar a postura. Para atualizar a postura, conclua os seguintes passos: Atualize o ficheiro posture.yaml com a alteração. Execute o comando gcloud scc postures update. Para ver instruções, consulte o artigo Atualize as definições de políticas numa postura. Implemente a postura atualizada com o novo ID de revisão. Para ver instruções, consulte o artigo Atualize uma implementação de postura.
Disabled Serial Port Access Nome da categoria na API: DISABLED_SERIAL_PORT_ACCESS_ORG_POLICY	Descrição da deteção: o serviço de postura de segurança detetou que o acesso à porta de série de uma instância de VM está ativado. Nível de preços: Premium Corrija esta descoberta : Tem duas opções para resolver esta descoberta: pode atualizar o recurso em violação ou pode atualizar a postura e voltar a implementá-la. Para atualizar o recurso, conclua os seguintes passos: Abra o resumo da descoberta. Verifique a secção do recurso afetado e encontre o nome completo do recurso que está a violar a política de postura. Clique no nome completo do recurso para abrir os respetivos detalhes. Edite o recurso. Encontre a secção de acesso remoto e desmarque a caixa de verificação Ativar a ligação a portas de série. Guarde o recurso. Se quiser manter o recurso na mesma configuração, tem de atualizar a postura. Para atualizar a postura, conclua os seguintes passos: Atualize o ficheiro posture.yaml com a alteração. Execute o comando gcloud scc postures update. Para ver instruções, consulte o artigo Atualize as definições de políticas numa postura. Implemente a postura atualizada com o novo ID de revisão. Para ver instruções, consulte o artigo Atualize uma implementação de postura.
Skip Default Network Creation Nome da categoria na API: SKIP_DEFAULT_NETWORK_CREATION_ORG_POLICY	Descrição da descoberta: o serviço de postura de segurança detetou que foi criada uma rede predefinida. Nível de preços: Premium Corrija esta descoberta : Tem duas opções para resolver esta descoberta: pode eliminar o recurso em violação ou pode atualizar a postura e implementá-la novamente. Para eliminar o recurso, conclua os seguintes passos: Abra o resumo da descoberta. Verifique a secção do recurso afetado e encontre o nome completo do recurso que está a violar a política de postura. Clique no nome completo do recurso para abrir os respetivos detalhes. Elimine o recurso. Se quiser manter o recurso na mesma configuração, tem de atualizar a postura. Para atualizar a postura, conclua os seguintes passos: Atualize o ficheiro posture.yaml com a alteração. Execute o comando gcloud scc postures update. Para ver instruções, consulte o artigo Atualize as definições de políticas numa postura. Implemente a postura atualizada com o novo ID de revisão. Para ver instruções, consulte o artigo Atualize uma implementação de postura.
Allowed Ingress Nome da categoria na API: ALLOWED_INGRESS_ORG_POLICY	Descrição da descoberta: o serviço de postura de segurança detetou que um serviço do Cloud Run não está em conformidade com as definições de entrada especificadas. Nível de preços: Premium Corrija esta descoberta : Tem duas opções para resolver esta descoberta: pode atualizar o recurso em violação ou pode atualizar a postura e voltar a implementá-la. Para atualizar o recurso, conclua os seguintes passos: Abra o resumo da descoberta. Verifique a secção do recurso afetado e encontre o nome completo do recurso que está a violar a política de postura. Clique no nome completo do recurso para abrir os respetivos detalhes. Clique no separador Rede. Altere as definições para corresponderem à política de entrada permitida. Guarde o recurso. Se quiser manter o recurso na mesma configuração, tem de atualizar a postura. Para atualizar a postura, conclua os seguintes passos: Atualize o ficheiro posture.yaml com a alteração. Execute o comando gcloud scc postures update. Para ver instruções, consulte o artigo Atualize as definições de políticas numa postura. Implemente a postura atualizada com o novo ID de revisão. Para ver instruções, consulte o artigo Atualize uma implementação de postura.
Uniform Bucket Level Access Nome da categoria na API: UNIFORM_BUCKET_LEVEL_ACCESS_ORG_POLICY	Descrição da descoberta: o serviço de postura de segurança detetou que um acesso ao nível do contentor é detalhado em vez de uniforme. Nível de preços: Premium Corrija esta descoberta : Tem duas opções para resolver esta descoberta: pode atualizar o recurso em violação ou pode atualizar a postura e voltar a implementá-la. Para atualizar o recurso, conclua os seguintes passos: Abra o resumo da descoberta. Verifique a secção do recurso afetado e encontre o nome completo do recurso que está a violar a política de postura. Clique no nome completo do recurso para abrir os respetivos detalhes. Clique no separador Autorizações. No cartão Controlo de acesso, clique em Mudar para uniforme. Selecione uniforme e guarde. Se quiser manter o recurso na mesma configuração, tem de atualizar a postura. Para atualizar a postura, conclua os seguintes passos: Atualize o ficheiro posture.yaml com a alteração. Execute o comando gcloud scc postures update. Para ver instruções, consulte o artigo Atualize as definições de políticas numa postura. Implemente a postura atualizada com o novo ID de revisão. Para ver instruções, consulte o artigo Atualize uma implementação de postura.
Allowed VPC Egress Nome da categoria na API: ALLOWED_VPC_EGRESS_ORG_POLICY	Descrição da descoberta: o serviço de postura de segurança detetou que um serviço do Cloud Run não está em conformidade com as definições de saída especificadas. Nível de preços: Premium Corrija esta descoberta : Tem duas opções para resolver esta descoberta: pode atualizar o recurso em violação ou pode atualizar a postura e voltar a implementá-la. Para atualizar o recurso, conclua os seguintes passos: Abra o resumo da descoberta. Verifique a secção do recurso afetado e encontre o nome completo do recurso que está a violar a política de postura. Clique no nome completo do recurso para abrir os respetivos detalhes. Clique em Editar e implementar nova revisão e, de seguida, clique no separador Trabalho em rede. Altere a definição Encaminhamento de tráfego na secção Ligar a uma VPC para tráfego de saída de modo a corresponder à política de saída permitida. Implemente o recurso. Se quiser manter o recurso na mesma configuração, tem de atualizar a postura. Para atualizar a postura, conclua os seguintes passos: Atualize o ficheiro posture.yaml com a alteração. Execute o comando gcloud scc postures update. Para ver instruções, consulte o artigo Atualize as definições de políticas numa postura. Implemente a postura atualizada com o novo ID de revisão. Para ver instruções, consulte o artigo Atualize uma implementação de postura.

Resultados do Model Armor

Níveis de serviço Standard-legacy, Standard, Premium e Enterprise (descontinuado)

O Model Armor é um serviço totalmente gerido Google Cloud que melhora a segurança das aplicações de IA através da análise de comandos e respostas de LLMs para vários riscos de segurança.

A tabela seguinte apresenta as descobertas do Security Command Center que o Model Armor gera.

Conclusão

Resumo

Floor settings violation Nome da categoria na API: FLOOR_SETTINGS_VIOLATION

Descrição da descoberta: uma violação da definição de piso que ocorre quando um modelo do Model Armor não cumpre os padrões de segurança mínimos definidos pelas definições de piso da hierarquia de recursos. Classe de descobertas: erro de configuração Nível de preços: Premium Corrija esta descoberta: Esta descoberta requer que atualize o modelo do Model Armor para estar em conformidade com as definições de piso definidas na hierarquia de recursos.

Reveja as descobertas na consola Google Cloud

1. Na Google Cloud consola, aceda à página Descobertas do Security Command Center.

   Aceder às descobertas

2. Selecione o seu Google Cloud projeto ou organização.
3. Na secção Filtros rápidos, na subsecção Nome a apresentar da origem, selecione Model Armor. Os resultados da consulta de descobertas são atualizados para mostrar apenas as descobertas desta fonte.
4. Para ver os detalhes de uma descoberta específica, clique no nome da descoberta na coluna Categoria. O painel de detalhes da descoberta é aberto e apresenta o separador Resumo.
5. No separador Resumo, reveja os detalhes da descoberta, incluindo informações sobre o que foi detetado, o recurso afetado e, se disponíveis, os passos que pode seguir para corrigir a descoberta.
6. Opcional: para ver a definição JSON completa da descoberta, clique no separador JSON.

Corrija as descobertas do Model Armor

A descoberta FLOOR_SETTINGS_VIOLATION indica que o modelo do Model Armor não cumpriu as normas de segurança mínimas definidas pelas definições de base da hierarquia de recursos.

Para corrigir esta descoberta, faça o seguinte:

1. Na Google Cloud consola, aceda à página Model Armor.
2. Confirme que está a ver o projeto no qual ativou o Model Armor. É apresentada a página Model Armor, que apresenta os modelos criados para o seu projeto.
3. Clique no modelo que quer modificar.
4. Modifique o modelo de acordo com as definições de piso definidas na hierarquia de recursos.
5. Clique em Guardar.

VM Manager

Pré-visualizar

Esta funcionalidade está sujeita aos "Termos de Ofertas de Pré-DG" na secção Termos de Serviço Gerais dos Termos Específicos do Serviço. As funcionalidades pré-GA estão disponíveis "tal como estão" e podem ter apoio técnico limitado. Para mais informações, consulte as descrições das fases de lançamento.

Níveis de serviço Premium e Enterprise (descontinuados) (requer ativação ao nível da organização)

O VM Manager é um conjunto de ferramentas que pode ser usado para gerir sistemas operativos para frotas de máquinas virtuais (VMs) de grandes dimensões com Windows e Linux no Compute Engine.

Se ativar o VM Manager ao nível da organização, o VM Manager escreve as descobertas dos respetivos relatórios de vulnerabilidade (pré-visualização) no Security Command Center. Os relatórios identificam vulnerabilidades em sistemas operativos instalados em VMs, incluindo vulnerabilidades e exposições comuns (CVEs).

Para usar o VM Manager com ativações ao nível do projeto do Security Command Center Premium, ative o Security Command Center Standard na organização principal.

Os relatórios de vulnerabilidades não estão disponíveis para o Security Command Center Standard.

As descobertas simplificam o processo de utilização da funcionalidade de conformidade de patches do VM Manager (pré-visualização). A funcionalidade permite-lhe realizar a gestão de patches ao nível da organização em todos os seus projetos.

A gravidade das descobertas de vulnerabilidades recebidas do VM Manager é sempre CRITICAL ou HIGH.

Descobertas do VM Manager

As vulnerabilidades deste tipo estão todas relacionadas com pacotes de sistemas operativos instalados em VMs do Compute Engine compatíveis.

Detetor	Resumo	Definições de análise de recursos
OS vulnerability Nome da categoria na API: OS_VULNERABILITY	Descrição da descoberta: o VM Manager detetou uma vulnerabilidade no pacote do sistema operativo (SO) instalado para uma VM do Compute Engine. Nível de preços: Premium Recursos compatíveis compute.googleapis.com/Instance Corrija esta descoberta	Os relatórios de vulnerabilidades do VM Manager detalham as vulnerabilidades nos pacotes do sistema operativo instalados para as VMs do Compute Engine, incluindo vulnerabilidades e exposições comuns (CVEs). Para ver uma lista completa dos sistemas operativos compatíveis, consulte os Detalhes do sistema operativo. As descobertas aparecem no Security Command Center pouco depois de as vulnerabilidades serem detetadas. Os relatórios de vulnerabilidades no VM Manager são gerados da seguinte forma: Quando um pacote é instalado ou atualizado no sistema operativo de uma VM, pode esperar ver informações sobre Vulnerabilidades e Exposições Comuns (CVEs) para a VM no Security Command Center no prazo de duas horas após a alteração. Quando são publicados novos avisos de segurança para um sistema operativo, as CVEs atualizadas estão normalmente disponíveis no prazo de 24 horas após o fornecedor do sistema operativo publicar o aviso.

Reveja as descobertas na consola

1. Na Google Cloud consola, aceda à página Descobertas do Security Command Center.

   Aceder às descobertas

2. Selecione o seu Google Cloud projeto ou organização.
3. Na secção Filtros rápidos, na subsecção Nome a apresentar da origem, selecione VM Manager. Os resultados da consulta de descobertas são atualizados para mostrar apenas as descobertas desta fonte.
4. Para ver os detalhes de uma descoberta específica, clique no nome da descoberta na coluna Categoria. O painel de detalhes da descoberta é aberto e apresenta o separador Resumo.
5. No separador Resumo, reveja os detalhes da descoberta, incluindo informações sobre o que foi detetado, o recurso afetado e, se disponíveis, os passos que pode seguir para corrigir a descoberta.
6. Opcional: para ver a definição JSON completa da descoberta, clique no separador JSON.

Corrigir descobertas do VM Manager

Uma descoberta de OS_VULNERABILITY indica que o VM Manager encontrou uma vulnerabilidade nos pacotes do sistema operativo instalados numa VM do Compute Engine.

Para corrigir esta descoberta, faça o seguinte:

1. Abra uma descoberta do OS vulnerability e veja a respetiva definição JSON.

2. Copie o valor do campo externalUri. Este valor é o URI da página Informações do SO da instância de VM do Compute Engine na qual o sistema operativo vulnerável está instalado.

3. Aplique todos os patches adequados para o SO apresentado na secção Informações básicas. Para ver instruções sobre como implementar patches, consulte o artigo Crie tarefas de patch.

Saiba mais sobre os recursos compatíveis e as definições de análise deste tipo de descoberta.

Desative o som das descobertas do VM Manager

Pode ocultar algumas ou todas as descobertas do VM Manager no Security Command Center se não forem relevantes para os seus requisitos de segurança.

Pode ocultar as descobertas do VM Manager criando uma regra de desativação do som e adicionando atributos de consulta específicos às descobertas do VM Manager que quer ocultar.

Para ver informações sobre como criar uma regra de desativação do som, consulte o artigo Crie uma regra de desativação do som.

Por exemplo, se quiser ocultar IDs de CVEs específicos nas descobertas de vulnerabilidades do VM Manager, selecione Vulnerabilidade > ID de CVE e, em seguida, selecione os IDs de CVEs que quer ocultar.

O campo Consulta de descobertas da regra de desativação do som é semelhante ao seguinte:

parent_display_name="VM Manager"
AND vulnerability.cve.id="CVE-2025-26923" OR vulnerability.cve.id="CVE-2025-27635"

Resultados da avaliação de vulnerabilidades da Agent Platform

Pré-visualizar

Esta funcionalidade está sujeita aos "Termos de Ofertas de Pré-DG" na secção Termos de Serviço Gerais dos Termos Específicos do Serviço. As funcionalidades pré-GA estão disponíveis "tal como estão" e podem ter apoio técnico limitado. Para mais informações, consulte as descrições das fases de lançamento.

Níveis de serviço Premium e Enterprise (descontinuados)

Deteção de vulnerabilidades

A avaliação de vulnerabilidades da Agent Platform identifica vulnerabilidades de software (CVEs) em cargas de trabalho agênticas implementadas com a Plataforma de agentes do Gemini Enterprise.

As descobertas têm a classe VULNERABILITY e a gravidade HIGH ou CRITICAL.

Para resolver uma descoberta, atualize os requisitos do agente ou a definição do contentor personalizado para usar uma versão segura do pacote, conforme especificado no campo Pacote corrigido.

Deteção de segredos

A avaliação de vulnerabilidades da plataforma de agentes oferece uma análise contínua e automática de segredos em texto simples em imagens da plataforma de agentes implementadas pelo cliente e gera descobertas no Security Command Center.

Cada descoberta identifica o URI da Agent Platform, o repositório de imagens, o tipo de segredo e o caminho.

As descobertas têm a classe SECRET e a gravidade de CRITICAL.

Referência de descobertas

Detetor	Resumo
Software vulnerability Nome da categoria na API: SOFTWARE_VULNERABILITY Turma: VULNERABILITY Gravidade: CRITICAL ou HIGH	Descrição da descoberta: foi detetada uma vulnerabilidade de software (CVE) numa carga de trabalho agêntica que foi implementada com a Agent Platform. Este scanner avalia automaticamente o código personalizado e as dependências na instância operacional. Nível de preços: Premium ou Enterprise Corrija esta descoberta : Reveja os detalhes da descoberta para identificar o pacote e a versão afetados. Para resolver a descoberta, atualize os requisitos do agente ou a definição do contentor personalizado para usar uma versão segura do pacote e, em seguida, implemente novamente a instância da Plataforma de agentes. A reinstalação da instância da plataforma de agentes aciona uma nova análise. Se a vulnerabilidade não estiver presente na nova implementação, a descoberta é marcada como INACTIVE.
Secrets in Agent Platform Nome da categoria na API: SECRETS_IN_AGENT_ENGINE Turma: SECRET Gravidade: CRITICAL	Descrição da descoberta: foi encontrada uma credencial de texto simples do tipo <TYPE> na camada da imagem no caminho: <PATH>. Nível de preços: Premium ou Enterprise Corrija esta descoberta : Investigue a descoberta para confirmar os detalhes sobre o segredo e, em seguida, revogue ou altere a credencial exposta. Remova o Secret em texto simples do Ficheiro Docker, do código-fonte ou dos ficheiros de configuração usados para criar a imagem. Implemente uma solução de gestão de segredos segura, como o Secret Manager, para armazenar e aceder a segredos de forma segura no tempo de execução. Recrie e implemente novamente a instância da Plataforma de agentes com a imagem corrigida. A reinstalação da imagem do contentor da Agent Platform aciona uma nova análise. Se o segredo não estiver presente na nova implementação, a descoberta é marcada como INACTIVE.

Para mais informações, consulte o artigo Configure a proteção de IA.

Resultados da avaliação de vulnerabilidades do Artifact Registry

Níveis de serviço Standard-legacy, Standard, Premium e Enterprise (descontinuado) (requer ativação ao nível da organização)

A tabela seguinte apresenta as descobertas que alertam para potenciais vulnerabilidades detetadas nas imagens de contentores. Estas descobertas só são geradas para imagens de contentores vulneráveis que são armazenadas no Artifact Registry e implementadas num dos seguintes recursos:

• Cluster do Google Kubernetes Engine
• Serviço do Cloud Run
• Tarefa do Cloud Run
• App Engine

Estas descobertas são classificadas como tendo uma gravidade de HIGH ou CRITICAL.

Para informações sobre como ativar, desativar e ver as descobertas da avaliação de vulnerabilidades do Artifact Registry na Google Cloud consola, consulte o serviço de deteção de avaliação de vulnerabilidades do Artifact Registry.

Detetor

Resumo

Container image vulnerability Nome da categoria na API: CONTAINER_IMAGE_VULNERABILITY

Descrição da descoberta: foi detetada uma vulnerabilidade numa imagem de contentor que foi analisada no Artifact Registry. Esta imagem é implementada num dos seguintes recursos: Cluster do Google Kubernetes Engine Serviço do Cloud Run Tarefa do Cloud Run App Engine Nível de preços: Standard, Premium ou Enterprise Corrija esta descoberta : Consoante o tipo de recurso, faça o seguinte: Para tarefas ou execuções do Cloud Run, atualize a configuração da tarefa com uma versão de imagem fixa. A descoberta é resolvida se a tarefa do Cloud Run com a versão da imagem vulnerável não for executada durante 12 horas. Para serviços ou revisões do Cloud Run, atribua tráfego a uma revisão diferente que seja implementada com uma versão da imagem fixa. Certifique-se de que o tráfego não é atribuído à revisão com a imagem vulnerável. Para recursos do Google Kubernetes Engine ou App Engine, atualize ou elimine a versão da imagem do contentor. Pode resolver a descoberta removendo a associação do tempo de execução ou removendo a versão da imagem vulnerável no Artifact Registry. Consulte os detalhes da descoberta para ver os passos de remediação específicos com base no recurso de tempo de execução adequado. Para os clientes do nível Standard-legacy, a utilização da funcionalidade de consulta de recursos do Cloud Asset Inventory para determinar onde a imagem do contentor vulnerável é implementada não é compatível. Recomendamos que atualize para os níveis Premium ou Enterprise para receber informações mais detalhadas.

Proteção de dados confidenciais

Níveis de serviço Standard-legacy, Premium e Enterprise (descontinuado)

Esta secção descreve as descobertas de vulnerabilidades que a Proteção de dados confidenciais gera, que normas de conformidade suportam e como corrigir as descobertas.

A Proteção de dados confidenciais também envia descobertas de observação para o Security Command Center. Para mais informações sobre as descobertas de observação e a Proteção de dados confidenciais, consulte Proteção de dados confidenciais.

Para ver informações sobre como ver as descobertas, consulte o artigo Reveja as descobertas da Proteção de dados confidenciais na Google Cloud consola.

Descobertas de vulnerabilidades da Proteção de dados confidenciais

O serviço de descoberta da Proteção de dados confidenciais ajuda a determinar se está a armazenar dados altamente confidenciais que não estão protegidos.

Categoria	Resumo
Public sensitive data Nome da categoria na API: PUBLIC_SENSITIVE_DATA	Descrição da descoberta: o recurso especificado tem dados de alta sensibilidade que podem ser acedidos por qualquer pessoa na Internet. Nota: a Proteção de dados confidenciais pode produzir uma entrada do registo de auditoria de acesso a dados quando analisa (cria o perfil) uma tarefa de ajuste num contentor do Cloud Storage. A ação é realizada por uma conta de serviço interna da Proteção de dados confidenciais. Recursos compatíveis: aiplatform.googleapis.com/Dataset aiplatform.googleapis.com/TuningJob bigquery.googleapis.com/Dataset bigquery.googleapis.com/Table sqladmin.googleapis.com/Instance storage.googleapis.com/Bucket Contentor do Amazon S3 Contentor do armazenamento de blobs do Azure Remediação: Para Google Cloud dados, remova allUsers e allAuthenticatedUsers da política de IAM do recurso de dados. Para dados do Amazon S3, configure as definições de bloqueio de acesso público ou atualize a ACL do objeto para recusar o acesso de leitura público. Para mais informações, consulte os artigos Configurar as definições de bloqueio do acesso público para os seus contentores do S3 e Configurar ACLs na documentação da AWS. Para dados do armazenamento de blobs do Azure, remova o acesso público ao contentor e aos blobs. Para mais informações, consulte o artigo Vista geral: remediar o acesso de leitura anónimo para dados de blobs na documentação do Azure. Normas de conformidade: não mapeadas
Secrets in environment variables Nome da categoria na API: SECRETS_IN_ENVIRONMENT_VARIABLES	Descrição da descoberta: existem segredos, como palavras-passe, tokens de autenticação e Google Cloud credenciais, em variáveis de ambiente. Para ativar este detetor, consulte o artigo Comunique segredos em variáveis de ambiente ao Security Command Center na documentação da Proteção de dados confidenciais. Recursos compatíveis: cloudfunctions.googleapis.com/CloudFunction run.googleapis.com/Revision Remediação: Para variáveis de ambiente de funções do Cloud Run, remova o segredo da variável de ambiente e, em alternativa, armazene-o no Secret Manager. Para as variáveis de ambiente de revisão do serviço Cloud Run, retire todo o tráfego da revisão e, em seguida, elimine a revisão. Normas de conformidade: CIS GCP Foundation 1.3: 1.18 CIS GCP Foundation 2.0: 1.18
Secrets in storage Nome da categoria na API: SECRETS_IN_STORAGE	Descrição da descoberta: existem segredos, como palavras-passe, tokens de autenticação e credenciais da nuvem, no recurso especificado. Recursos compatíveis: aiplatform.googleapis.com/Dataset aiplatform.googleapis.com/TuningJob bigquery.googleapis.com/Dataset bigquery.googleapis.com/Table sqladmin.googleapis.com/Instance storage.googleapis.com/Bucket Contentor do Amazon S3 Contentor do armazenamento de blobs do Azure Remediação: Para Google Cloud dados, use a Proteção de dados confidenciais para executar uma análise de inspeção detalhada do recurso especificado para identificar todos os recursos afetados. Para dados do Cloud SQL, exporte esses dados para um ficheiro CSV ou AVRO num contentor do Cloud Storage e execute uma análise de inspeção detalhada do contentor. Para dados de outros fornecedores de nuvem, inspecione manualmente o contentor ou o contentor de dados especificado. Remova os segredos detetados. Considere repor as credenciais. Para dados Google Cloud , considere armazenar os segredos detetados no Secret Manager. Normas de conformidade: não mapeadas

Descobertas de configuração incorreta da Proteção de dados confidenciais

O serviço de descoberta da Proteção de dados confidenciais ajuda a determinar se tem configurações incorretas que podem expor dados confidenciais.

Categoria

Resumo

Sensitive data CMEK disabled Nome da categoria na API: SENSITIVE_DATA_CMEK_DISABLED

Descrição da descoberta: o recurso especificado tem dados de alta ou moderada sensibilidade e o recurso não está a usar uma chave de encriptação gerida pelo cliente (CMEK). Recursos compatíveis: aiplatform.googleapis.com/Dataset bigquery.googleapis.com/Dataset bigquery.googleapis.com/Table sqladmin.googleapis.com/Instance storage.googleapis.com/Bucket Contentor do Amazon S3 Contentor do armazenamento de blobs do Azure Remediação: Para dados do BigQuery, use CMEK na tabela ou no conjunto de dados. Para dados do Cloud SQL, consulte a documentação das CMEKs para o Cloud SQL para MySQL ou o Cloud SQL para PostgreSQL. Para dados do Cloud Storage, use as CMEK no contentor. Normas de conformidade: não mapeadas

Resultados de observações da Proteção de dados confidenciais

O serviço de descoberta da Proteção de dados confidenciais ajuda a determinar se os seus dados contêm infoTypes específicos e onde residem na sua organização, pastas e projetos. Gera as seguintes categorias de descobertas de observações no Security Command Center:

Categoria	Resumo
Data sensitivity Nome da categoria na API: DATA_SENSITIVITY	Descrição da descoberta: uma indicação do nível de confidencialidade dos dados num recurso de dados específico. Os dados são confidenciais se contiverem IIP ou outros elementos que possam exigir controlo ou gestão adicionais. A gravidade da descoberta é o nível de sensibilidade que a Proteção de dados confidenciais calculou ao gerar o perfil de dados.
Data risk Nome da categoria na API: DATA_RISK	Descrição da descoberta: o risco associado aos dados no respetivo estado atual. Ao calcular o risco dos dados, a Proteção de dados confidenciais considera o nível de sensibilidade dos dados no recurso de dados e a presença de controlos de acesso para proteger esses dados. A gravidade da descoberta é o nível de risco de dados que a Proteção de dados confidenciais calculou ao gerar o perfil de dados.

Controlador de políticas

Níveis de serviço Standard-legacy, Standard, Premium e Enterprise (descontinuado) (requer ativação ao nível da organização)

O Policy Controller permite a aplicação e a imposição de políticas programáveis para os seus clusters do Kubernetes registados como subscrições de frotas. Estas políticas funcionam como salvaguardas e podem ajudar com as práticas recomendadas, a segurança e a gestão de conformidade dos seus clusters e frota.

Esta página não apresenta todas as descobertas individuais do Policy Controller, mas as informações sobre as descobertas da classe Misconfiguration que o Policy Controller escreve no Security Command Center são as mesmas que as violações do cluster documentadas para cada pacote do Policy Controller. A documentação dos tipos de descobertas individuais do Policy Controller encontra-se nos seguintes pacotes do Policy Controller:

• CIS Kubernetes Benchmark v1.5.1, um conjunto de recomendações para configurar o Kubernetes de forma a suportar uma forte postura de segurança. Também pode ver informações sobre este pacote no repositório do GitHub para cis-k8s-v1.5.1.

• PCI-DSS v3.2.1, um pacote que avalia a conformidade dos recursos do seu cluster com alguns aspetos da Norma de Segurança de Dados do Setor de Cartões de Pagamento (PCI DSS) v3.2.1. Também pode ver informações sobre este pacote no repositório do GitHub para pci-dss-v3.

Esta capacidade não é compatível com os perímetros de serviço dos VPC Service Controls em torno da API Stackdriver.

Encontrar e corrigir conclusões do Policy Controller

As categorias do Policy Controller correspondem aos nomes das restrições indicados na documentação dos pacotes do Policy Controller. Por exemplo, uma descoberta require-namespace-network-policies indica que um espaço de nomes viola a política de que todos os espaços de nomes num cluster têm um NetworkPolicy.

Para corrigir uma descoberta, faça o seguinte:

1. Na Google Cloud consola, aceda à página Descobertas do Security Command Center.

   Aceder às descobertas

2. Selecione o seu Google Cloud projeto ou organização.
3. Na secção Filtros rápidos, na subsecção Nome a apresentar da origem, selecione Policy Controller On-Cluster. Os resultados da consulta de descobertas são atualizados para mostrar apenas as descobertas desta fonte.
4. Para ver os detalhes de uma descoberta específica, clique no nome da descoberta na coluna Categoria. O painel de detalhes da descoberta é aberto e apresenta o separador Resumo.
5. No separador Resumo, reveja os detalhes da descoberta, incluindo informações sobre o que foi detetado, o recurso afetado e, se disponíveis, os passos que pode seguir para corrigir a descoberta.
6. Opcional: para ver a definição JSON completa da descoberta, clique no separador JSON.

O que se segue?

• Para ver informações sobre o ciclo de vida de uma descoberta, consulte o artigo Vista geral do ciclo de vida da descoberta.

• Para ver informações sobre os intervalos de análise de cada serviço, consulte Quando esperar descobertas no Security Command Center.

• Consulte o Índice de descobertas de vulnerabilidades.

• Saiba como usar o Security Health Analytics.

• Saiba como usar o Web Security Scanner.

• Leia sugestões para corrigir descobertas do Security Health Analytics e corrigir descobertas do Web Security Scanner.